Ein zentraler Secret-Store, in dem alle Zugangsdaten, Schlüssel und sensiblen Konfigurationen innerhalb einer einzigen Vertrauensgrenze gespeichert sind. Jeder Service authentifiziert sich gegenüber demselben Backend und erhält Secrets aus einer einzigen Vertrauenswurzel.

Die Verschlüsselung basiert in der Regel auf einem einzelnen Master Key oder einer kleinen Hierarchie, die von einer gemeinsamen Wurzel abgeleitet ist. Die Zugriffskontrolle wird auf der Policy-Ebene durchgesetzt, aber die zugrunde liegende kryptografische Domäne ist gemeinsam genutzt — das bedeutet, dass alle geschützten Daten mit demselben Schlüsselmaterial entschlüsselt werden können.

Wird der Master Key oder das Root Token kompromittiert, sind sämtliche Secrets im System gleichzeitig offengelegt. Es existiert keine kryptografische Isolation zwischen Tenants, Umgebungen oder Secret-Klassen — nur eine logische Trennung durch ACL-Policies.

Keyra ist ein domänenisoliertes Vault-System, bei dem jeder Vault als unabhängige kryptografische Vertrauensgrenze fungiert. Jeder Vault verfügt über einen eigenen Root Key, einen eigenen Verschlüsselungskontext und eine eigene Vertrauenskette — vollständig getrennt von anderen Vaults.

Secrets werden innerhalb ihrer jeweiligen Domänen mithilfe unabhängiger Schlüsselhierarchien versiegelt. Es existiert kein gemeinsamer Master Key, der mehrere Vaults gleichzeitig entschlüsseln kann. Domänenübergreifender Zugriff erfordert eine explizite, auditierbare Delegation statt einer impliziten Vertrauensvererbung.

Eine Kompromittierung von Vault A legt nur die Secrets von Vault A offen. Vaults B und C bleiben kryptografisch versiegelt — ihr Schlüsselmaterial ist vollständig getrennt. Dadurch wird der Blast Radius begrenzt und ein Single-Point-of-Failure-Vertrauenszusammenbruch im gesamten System verhindert.