External Secrets Operator

Définition

External Secrets Operator est un opérateur Kubernetes open-source conçu pour synchroniser automatiquement des secrets stockés dans des gestionnaires externes dédiés — HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, Google Secret Manager — vers des ressources natives Kubernetes Secrets, résolvant une limitation de sécurité fondamentale de Kubernetes dont le mécanisme natif de gestion des secrets stocke par défaut ces données sensibles encodées en base64 dans etcd, sans chiffrement fort par défaut ni rotation automatique, une pratique largement reconnue comme insuffisante pour des environnements soumis à des exigences de sécurité élevées. L'opérateur fonctionne selon le modèle de contrôleur Kubernetes standard, surveillant en continu des ressources personnalisées (Custom Resources) définissant la correspondance entre un secret stocké dans le gestionnaire externe et le Kubernetes Secret devant être généré et maintenu à jour en conséquence, appliquant automatiquement toute modification ou rotation effectuée côté source externe sans intervention manuelle. Cette approche déplace la responsabilité de la gestion sécurisée effective des secrets — chiffrement au repos robuste, contrôle d'accès granulaire, audit des accès, rotation automatique périodique — vers des solutions spécialisées disposant de garanties de sécurité nettement supérieures au stockage natif Kubernetes, tout en conservant pour les applications déployées une interface de consommation standard et inchangée via les Kubernetes Secrets habituels.