Sealed Secrets

Description

Les Sealed Secrets (Bitnami) chiffrent les Kubernetes Secrets avec la clé publique RSA du controller Sealed Secrets dans le cluster. Seul le controller peut déchiffrer le SealedSecret en Secret natif, rendant le fichier YAML sûr à committer en Git public ou privé.

Mise en œuvre

Installer le controller : helm install sealed-secrets sealed-secrets/sealed-secrets. Créer un SealedSecret : kubectl create secret generic myapp-db --from-literal=password=secret --dry-run=client -o yaml | kubeseal > sealed-secret.yaml. Committer sealed-secret.yaml dans Git.

Points clés

• Scope : namespace-scoped (défaut), cluster-wide ou strict (lié au nom + namespace)
• Rotation de clé : le controller génère automatiquement une nouvelle clé tous les 30 jours
• Alternative ESO : Sealed Secrets pour les petits clusters, ESO pour les grandes organisations