External Secrets Operator

Description

External Secrets Operator (ESO) synchronise les secrets depuis Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager ou SSM Parameter Store vers des Kubernetes Secrets natifs via des Custom Resources ExternalSecret et SecretStore.

Mise en œuvre

Installer ESO via Helm, configurer un SecretStore avec les credentials d'accès au backend, puis définir un ExternalSecret : refreshInterval: 1h, mapping des clés distantes vers le Secret Kubernetes local.

Points clés

• Zero secret in Git : les SecretStore/ExternalSecret YAML ne contiennent aucune valeur sensible
• Rotation automatique : ESO re-fetch les secrets selon l'interval configuré
• ClusterSecretStore pour partage cross-namespace des configurations de backend