SOPS e Sealed Secrets: manter o texto simples fora do Git para Kubernetes de MSP

Dois projetos, getsops/sops e bitnami/sealed-secrets, cobrem uma lacuna comum nos pipelines de GitOps: manter os valores dos segredos fora do texto simples no controlo de versões, permitindo ao mesmo tempo que o cluster certo os desencripte automaticamente.

O que faz cada ferramenta

SOPS encripta ficheiros de configuração e de segredos antes de serem registados, utilizando backends age, PGP ou do tipo KMS na cloud. O acesso à desencriptação é controlado por quem detém a chave, independentemente de quem tenha acesso de leitura ao repositório. Sealed Secrets adota uma abordagem vinculada ao cluster: uma ferramenta do lado do cliente encripta um Secret do Kubernetes contra a chave pública do cluster de destino, produzindo um recurso personalizado SealedSecret que pode ser armazenado em segurança no Git. Apenas o controlador dentro do cluster, que detém a chave privada correspondente, pode transformá-lo novamente num Secret utilizável.

Onde se encaixam e o que não substituem

Usadas em conjunto, as duas ferramentas cobrem metades complementares do mesmo problema: o SOPS protege ficheiros antes de chegarem ao Git, e o Sealed Secrets protege o caso específico de um Secret do Kubernetes vinculado a um único cluster. Nenhuma substitui a rotação de credenciais, o controlo de acesso baseado em funções ou o isolamento de rede -- um SealedSecret é seguro para registar, mas continua a ser texto cifrado para um limite de desencriptação específico, não um substituto do acesso com privilégios mínimos. A higiene prática é importante aqui: restrinja quem pode executar uma operação de desencriptação no CI, nunca imprima valores desencriptados nos registos de compilação e monitorize o estado do controlador do Sealed Secrets e o calendário de rotação da sua chave de selagem. Valide qualquer alteração em qualquer um dos pipelines num cluster de não produção antes de a implementar.

O hábito que vale a pena adotar

O valor do Sealed Secrets é o controlo que impõe -- um limite de desencriptação que apenas um cluster pode atravessar -- e não o nome da ferramenta num diapositivo. Fixe as versões, mantenha os ficheiros encriptados passíveis de revisão em pull requests e trate a rotação de chaves como uma tarefa agendada e não como uma resposta a incidentes.

Fontes: getsops/sops, bitnami/sealed-secrets.