Sealed Secrets

devsecops

Définition

Sealed Secrets est un contrôleur Kubernetes open source développé par Bitnami qui résout un problème classique du GitOps : les objets Secret natifs de Kubernetes ne sont encodés qu'en base64, sans chiffrement réel, ce qui les rend inadaptés au stockage dans un dépôt Git même privé. La solution repose sur un chiffrement asymétrique : un contrôleur déployé dans le cluster génère et conserve une paire de clés publique/privée propre au cluster ; l'outil client kubeseal chiffre un Secret classique avec la clé publique pour produire une ressource SealedSecret, un objet Kubernetes custom (CRD) dont le contenu chiffré est illisible sans la clé privée du cluster cible. Ce SealedSecret peut alors être committé sans risque dans un dépôt Git, y compris public, puisque seul le contrôleur du cluster de destination, détenteur de la clé privée, peut le déchiffrer et recréer automatiquement le Secret natif correspondant au moment de l'application du manifeste. Cette approche s'inscrit dans les pratiques GitOps où l'intégralité de l'état désiré, secrets inclus, doit résider en source de vérité versionnée. Elle se distingue d'alternatives comme Vault ou SOPS par sa simplicité d'intégration native à Kubernetes, au prix d'un couplage fort à un cluster donné, la clé n'étant pas partageable entre environnements sans réplication explicite.

Description

Les Sealed Secrets (Bitnami) chiffrent les Kubernetes Secrets avec la clé publique RSA du controller Sealed Secrets dans le cluster. Seul le controller peut déchiffrer le SealedSecret en Secret natif, rendant le fichier YAML sûr à committer en Git public ou privé.

Mise en œuvre

Installer le controller : helm install sealed-secrets sealed-secrets/sealed-secrets. Créer un SealedSecret : kubectl create secret generic myapp-db --from-literal=password=secret --dry-run=client -o yaml | kubeseal > sealed-secret.yaml. Committer sealed-secret.yaml dans Git.

Points clés

Scope : namespace-scoped (défaut), cluster-wide ou strict (lié au nom + namespace)
Rotation de clé : le controller génère automatiquement une nouvelle clé tous les 30 jours
Alternative ESO : Sealed Secrets pour les petits clusters, ESO pour les grandes organisations

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis