Sealed Secrets Kubernetes

Définition

Sealed Secrets est un outil open source développé par Bitnami (maintenant sous l'égide de VMware/Broadcom) pour la gestion sécurisée des secrets Kubernetes dans un contexte GitOps. Sealed Secrets résout le problème fondamental du GitOps avec les secrets : si toute la configuration Kubernetes doit être versionnée dans Git, comment gérer les secrets sans les exposer en clair dans le dépôt Git (où ils sont visibles à tous les contributeurs et potentiellement dans des logs publics) ? Sealed Secrets introduit un nouveau CRD Kubernetes : le SealedSecret. Un SealedSecret est un Secret Kubernetes chiffré avec la clé publique du contrôleur Sealed Secrets du cluster cible. Seul le contrôleur Sealed Secrets du cluster qui possède la clé privée correspondante peut déchiffrer le SealedSecret pour créer le Secret Kubernetes réel. Ainsi, un SealedSecret peut être stocké en toute sécurité dans un dépôt Git public ou privé : sans accès au cluster (et sa clé privée), il est impossible de déchiffrer le secret. Le workflow Sealed Secrets est le suivant : un développeur chiffre un secret avec kubeseal --cert=<public_key.pem> (en utilisant la clé publique du cluster cible), obtenant un fichier SealedSecret YAML, qui est versionné dans Git comme n'importe quel autre manifeste. ArgoCD ou Flux déploie le SealedSecret dans le cluster. Le contrôleur Sealed Secrets du cluster déchiffre le SealedSecret et crée le Secret Kubernetes correspondant, accessible aux Pods. La limitation principale de Sealed Secrets est sa liaison à un cluster spécifique : un SealedSecret chiffré pour le cluster de production ne peut pas être déchiffré par le cluster de staging (à moins de partager la même paire de clés, ce qui est déconseillé). Le renouvellement de la clé privée du contrôleur nécessite également une procédure de re-scellement de tous les SealedSecrets existants.