HashiCorpは、特権アクセス管理の道具「Boundary」のコミュニティ版(無料で使える版)の開発をやめ、GitHubのリポジトリを読み取り専用にしました。READMEには「新しい版、保守の更新、不具合の修正、セキュリティの修正は、現時点で予定していない」と書かれています。
自分たちでBoundaryを動かしている会社は、動き続けることと、今後見つかる弱点が直されないことを分けて考える必要があります。公式の資料で確かめた内容を整理します。
何が決まったのか
公式ドキュメントは、Boundaryを、サーバー、データベース、アプリなどへのアクセスを管理する道具と説明しています。社員や委託先が社内の環境へつなぐとき、本人確認と役割ごとの権限で入口をまとめ、接続の記録も残せます。同じドキュメントは、これまではSSHの踏み台サーバーやVPNを用意して保つ必要があった、と説明しています。
HashiCorpの公式フォーラムの告知(2026年10月9日21時29分、協定世界時。日本時間では10月10日の朝)は、コミュニティ版を「完全に終了する」と書いています。今後の開発は、商用版であるEnterpriseとHCP(HashiCorp Cloud Platform、同社のクラウドサービス)に集中するとのことです。
HashiCorp公式フォーラムの告知の本文(コミュニティ版の終了と詳細)出典: HashiCorp Discuss「Deprecation of Boundary Community Edition」(引用)
決まったことを、告知とREADMEの記載から表にします。
| 項目 |
公式の記載 |
| 対象 |
Boundary Community Edition(コミュニティ版) |
| GitHubのリポジトリ |
アーカイブ済み。READMEは「2026年10月8日付」、GitHubの表示は「Oct 9, 2026にオーナーがアーカイブ」 |
| 受け付けるもの |
新しい課題(Issue)、プルリクエスト、コミュニティからの貢献は受け付けない |
| 今後の更新 |
新しい版、保守の更新、不具合の修正、セキュリティの修正は「現時点で予定していない」 |
| 残るもの |
ソースコード(読み取り専用)と、公開済みの版 |
| 対象でないもの |
HCP Boundary、Boundary Enterprise、ほかのHashiCorp製品 |
GitHubのAPIでは、最後のプッシュは2026年10月9日16時50分(協定世界時)で、アーカイブ済みと返ります。最新のコミュニティ版はv0.21.3で、公開は2026年4月30日です。v0.20.3とv0.19.5も同じ日に出ています。
GitHubのboundaryリポジトリ上部。「アーカイブされ読み取り専用」の表示出典: GitHub「hashicorp/boundary」(引用)
動いている環境と、ライセンス
READMEは、すでにある環境について「公開済みのソースと配布済みの版は、参照と、自社で動かす既存の利用のために残る」と書いています。止める仕組みは書かれていません。だから、いま動いているものが、明日から使えなくなるとは読めません。
問題は、これからです。使っている版に脆弱性が見つかっても、公式の修正は出ません。告知も、継続して使う前に、バグや未修正の脆弱性を考慮するよう求めています。
ライセンスも確認が必要です。LICENSEファイルは、Business Source License 1.1(ソースは見られるが、使い道に条件がつくライセンス)です。対象は「Boundary 0.14.0以降」で、許諾者はIBMと書かれています。本番での利用は認められますが、許諾者の有償版と競合する形で、第三者にホスティングや組み込みで提供する使い方は認められません。組織の中で動かして使うことは、競合の提供にあたらないと書かれています。変更日(Change Date)は各版の公開から4年後で、その後はMPL 2.0に切り替わります。
0.14.0より前の版の条件は、このファイルからは分かりません。使っている版のライセンスは、その版のものを見てください。フォークして開発を続ける場合の条件は、法務や契約の担当に確認してください。
影響する会社・しない会社
- 影響する: 自社のサーバーでBoundaryのコミュニティ版を動かしている会社です。修正が出ないまま使い続けることになります。
- 影響する: 委託先、グループ会社、開発チームがコミュニティ版を入れている会社です。情シスが把握していないことがあります。
- 影響する: コミュニティ版を試験や検証の環境で使い、本番へ上げる予定があった会社です。導入の計画を見直す必要があります。
- 影響しない: HCP Boundaryを使っている会社です。告知は、今回の終了の対象ではないと書いています。
- 影響しない: Boundary Enterpriseを契約している会社です。同じく、対象ではないと書いています。
- 影響しない: Boundaryを使っていない会社です。ただし、ほかのHashiCorp製品のコミュニティ版や、無料のオープンソースに頼る基盤があれば、同じ見方で確認できます(編集部の補足)。
情シスが今日やること
- Boundaryの利用を洗い出します。 社内のサーバー、コンテナ、構成管理のコード、委託先の環境で、boundaryというプログラムやコンテナのイメージがないかを調べます。入れた人と、使っている版も控えます(調べ方は編集部の補足です)。
- コミュニティ版か商用版かを分けます。 契約やライセンスの有無で、コミュニティ版と、HCP Boundary、Enterpriseを分けます。商用版は対象外です。
- 外に面しているかを確かめます。 インターネットから届く入口(コントローラーやワーカーの待ち受け)かを見ます。外に面しているほど、未修正の弱点の影響は大きくなります。そのうえで、Boundaryの経由先が、重要なサーバーやデータベースかを確かめます。
- 続けるか、移すかを決めます。 続けるなら、期限を決め、アクセスできる範囲を絞り、ログを見る体制を作ります。使っているバージョンのまま、公式の修正は受けられない前提で、決めてください。
- 移す先の条件を書き出します。 公式が挙げている移行先は、HCP BoundaryとBoundary Enterpriseです。費用や機能の差の詳細は、公式のドキュメントや営業窓口で確かめてください。ほかの手段も含めて選ぶ場合の観点は、次の節に書きます。
移す先を選ぶときの見方(編集部の補足)
公式の告知とREADMEが勧めているのは、HCP BoundaryとBoundary Enterpriseです。公式ドキュメントでは、HCP Boundaryは、HashiCorpが管理側を運用するサービスです。Boundary Enterpriseは、自社で運用する版で、機能はHCP Boundaryと同等と書かれています。同じドキュメントは、迷ったらHCP Boundaryを勧めています。
次の点は、編集部の補足です。ほかの製品を含めて選ぶなら、次を比べると判断しやすくなります。
- いまの接続の経路、認証の仕組み(OIDCなど)、記録の残し方を、そのまま引き継げるか
- 自社で運用するか、サービスとして使うか(運用の手間と、データの置き場所)
- 開発元の更新の方針と、サポートの期限が書かれているか
- 切り替えの間、いまの環境と並べて動かせるか
書かれていないこと
次の点は、公式の資料に書かれていません。
- 日本の利用者の数
- 商用版への移行の費用や、無料の期間
- コミュニティ版の設定や、データを商用版へ引き継ぐ手順
- コミュニティ版で今後見つかる脆弱性が、あるかどうか、どれほど危険か
- フォークした版を、だれかが開発し続けるかどうか
- ほかの製品との比較
コミュニティ版に頼るソフトは止まることがある(編集部の補足)
無料のコミュニティ版は、開発元の方針で、更新が止まることがあります。今回のように、開発元が商用版に集中し、無料の版の開発を終える例があります。
ソースコードが公開されていても、直す人がいなければ、弱点は残ります。業務の入口に使うソフトは、更新の方針と、止まったときの移行先を、導入の時点で決めておくと、慌てずに済みます。
