HashiCorp Boundary CE arşivlendi: Topluluk sürümü için güvenlik yolu kapanıyor
hashicorp 8 Ekim 2026’da hashicorp/boundary GitHub deposunu arşivledi; Boundary Community Edition (CE) için aktif geliştirme, yeni sürüm, bakım, hata düzeltmesi ve güvenlik yaması planlanmıyor. Depo salt okunur; gelecekteki iş, şirketin duyurusuna göre HCP Boundary ve Boundary Enterprise üzerinde yoğunlaşacak — mesajlaşmada kurumsal governance, session recording ve human + agentic access vurgulanıyor.
Ana Gelişme
README metni, self-managed CE kullanan ekiplerin operasyonel, güvenlik ve uyumluluk gereksinimlerini yeniden değerlendirmesini istiyor. Mevcut kaynak kod ve önceden yayınlanmış binary’ler referans için erişilebilir kalıyor; topluluk issue/PR kabulü durdu.
Bu adım, BSL lisans geçişi ve ibm bünyesindeki hashicorp için “open core” çizgisinin devamı olarak okunuyor: politika tartışmasından somut repo arşivi ve CE güvenlik yolu kapanması. Discuss gönderisi (9 Ekim) topluluğa CE deprecation zaman çizelgesini ve destek seçeneklerini özetliyor; HN tartışması self-hosted kullanıcıların alternatif arayışını yansıtıyor.
Boundary, dinamik altyapıda (cloud VM, container, ephemeral host) kimlik tabanlı oturum açma ve yetkilendirme sağlıyor; session recording ve governance özellikleri ticari sürümlerde konumlanıyor. Arşiv kararı, “açık kaynak referans kodu var ama yaşayan topluluk sürümü yok” modeline yaklaşıyor.
Neden Önemli?
Türkiye’deki platform ve SRE ekiplerinin önemli bir kısmı HashiCorp yığını kullanıyor. boundary kimlik tabanlı dinamik altyapı erişimi (privileged access) sağlıyor; CE’de kalan kurulumlar yeni CVE’ler için vendor yaması bekleyemez — exposure haritası ve migrasyon planı acil.
Teknik Detaylar
Self-hosted CE için önerilen adımlar (genel rehber, spekülasyon yok):
- Kurulu Boundary CE sürümünü ve exposure’ı envanterleyin.
- HashiCorp güvenlik advisory’lerini mevcut sürümünüz için kontrol edin.
- HCP Boundary / Enterprise özellik ihtiyacını (session recording, destek, compliance) ticari teklifle karşılaştırın.
- Fork veya alternatif PAM çözümü için risk değerlendirmesi yapın.
Bağlam
privileged-access-management ve yükselen agentic-access-management teması, Boundary’nin ticari yönlendirmesini anlamlandırıyor. HashiCorp Discuss (9 Ekim) ve HN tartışmaları topluluk tepkisini yansıtıyor.
Sonraki Adımlar
Kurumsal müşteriler migrasyon zaman çizelgesi ve destek sözleşmelerini HashiCorp ile netleştirmeli. CE’de kalan lab ortamları bile ağ segmentasyonu ve erişim kısıtıyla izole edilmeli.
Uzun vadede “agentic access” mesajı, insan operatörlerle birlikte otomatik agent kimliklerinin de privileged access kapsamına girmesini ima ediyor; bu, sıfır güven (zero trust) mimarilerinde yeni politika katmanları gerektirecek. HashiCorp yığınındaki Vault, Consul ve Terraform ile Boundary entegrasyonu olan ekipler, ticari Boundary’ye geçişte mevcut identity provider yapılandırmalarını taşıma planı yapmalı.
Alternatif PAM ve bastion çözümleri (Teleport, StrongDM, açık kaynak OpenSSH jump host desenleri) değerlendirme listesinde olmalı. CE arşivi, “ücretsiz sürümü production’da çalıştırıp vendor patch beklemek” stratejisini artık Boundary için sürdürülemez kılıyor. Mevcut binary’ler çalışmaya devam edebilir; yeni CVE’ler için resmi yol yok.
IBM-HashiCorp birleşmesi sonrası ürün portföyü sadeleşmesi beklentisi, Vault ve Terraform topluluklarında da tartışılıyor; Boundary CE’nin kapanması bu trendin somut örneği. Türkiye’de regülasyon (KVKK, sektörel denetim) session recording ve erişim loglarını zorunlu kılan kurumlarda ticari Boundary özellikleri zaten gündemdeydi — CE kapanışı kararını hızlandırabilir.
Teknik migrasyon: mevcut role, scope ve credential store yapılandırmalarının HCP’ye taşınması, ağ politikaları ve worker deployment modelinde değişiklik gerektirebilir. Salt okunur GitHub deposu, forensic inceleme ve compliance audit için referans kalır; canlı patch beklemeyin.
Topluluk tepkisi HN’de self-hosted kullanıcıların “fork?” sorusunu öne çıkarıyor; BSL lisansı fork ve dağıtım seçeneklerini kısıtlıyor. Ticari alternatif veya farklı PAM ürünü değerlendirmesi, hukuk ve lisans ekibiyle birlikte yapılmalı.
Platform ekipleri için acil aksiyon: Boundary CE sürümünü asset envanterine işleyin, güvenlik advisory RSS’ini ticari ürün kanalına yönlendirin, incident response planında “vendor patch yok” senaryosunu dokümante edin. Bu haber politika değil, operasyonel süreklilik meselesi.