Kubernetes Secrets Management

Définition

La gestion des secrets Kubernetes couvre les pratiques et outils permettant de stocker, distribuer, et utiliser des données sensibles (mots de passe, tokens API, clés SSH, certificats TLS) dans les clusters Kubernetes de manière sécurisée. Par défaut, les Secrets Kubernetes sont stockés en base64 dans etcd sans chiffrement, nécessitant des contrôles supplémentaires pour une sécurité adéquate. Les Secrets Kubernetes natifs ont plusieurs limitations de sécurité : ils sont encodés en base64 (pas chiffrés), stockés dans etcd (nécessitant le chiffrement etcd au repos), visibles par tous les utilisateurs ayant le verbe get sur les secrets du namespace, et difficiles à auditer (pas de log par défaut sur les accès aux valeurs des secrets). Ces limitations ont conduit au développement d'alternatives plus sécurisées. Les approches de gestion des secrets Kubernetes incluent plusieurs patterns. Les External Secrets Operator (ESO) synchronise les secrets depuis des sources externes (AWS Secrets Manager, Azure Key Vault, GCP Secret Manager, HashiCorp Vault) vers des Kubernetes Secrets natifs avec une configuration déclarative. Le Secret Store CSI Driver monte les secrets directement comme volumes depuis les secrets stores externes sans créer de Secrets Kubernetes natifs (meilleure sécurité, les secrets ne sont jamais stockés dans etcd). Vault Agent Injector injecte les secrets dans les pods via un sidecar qui s'authentifie à Vault et écrit les secrets dans des volumes partagés. Les Sealed Secrets (Bitnami) permettent de stocker des secrets chiffrés dans Git (GitOps-friendly) : les secrets sont chiffrés avec la clé publique d'un contrôleur déployé dans le cluster. Seul le contrôleur peut déchiffrer le secret. Les fichiers SealedSecrets peuvent être commités dans Git en sécurité car inutilisables sans la clé privée du contrôleur. Le chiffrement etcd au repos est le contrôle minimal obligatoire pour les clusters Kubernetes utilisant des Secrets natifs. Sans chiffrement etcd, tout accès physique ou logique à la base de données etcd expose tous les secrets du cluster en clair.