SOPS och Sealed Secrets: håll klartext borta från Git för MSP-Kubernetes

Två etablerade projekt med öppen källkod, getsops/sops och bitnami/sealed-secrets, täcker en vanlig lucka i GitOps-pipelines: att hålla hemliga värden borta från klartext i versionshantering samtidigt som rätt kluster fortfarande kan dekryptera dem automatiskt.

Vad varje verktyg gör

SOPS, med ungefär 22 000 GitHub-stjärnor, krypterar konfigurations- och hemlighetsfiler innan de committas, med hjälp av age, PGP eller KMS-liknande molnbaserade bakändar. Dekrypteringsåtkomst styrs av vem som innehar nyckeln, separat från den som har läsbehörighet till repositoriet. Sealed Secrets, som underhålls vid ungefär 9 000 stjärnor, använder en klusterbunden metod: ett klientverktyg krypterar en Kubernetes-hemlighet mot målklustrets publika nyckel och producerar en SealedSecret-anpassad resurs som är säker att lagra i Git. Endast kontrollern i klustret, som innehar den matchande privata nyckeln, kan omvandla den tillbaka till en användbar hemlighet.

Var de passar in, och vad de inte ersätter

När de används tillsammans täcker de två verktygen kompletterande halvor av samma problem: SOPS skyddar godtyckliga filer innan de når Git, och Sealed Secrets skyddar specialfallet med en Kubernetes-hemlighet bunden till ett kluster. Ingetdera ersätter rotation av autentiseringsuppgifter, rollbaserad åtkomstkontroll eller nätverksisolering – en SealedSecret är säker att committa, men den är fortfarande chiffertext för en specifik dekrypteringsgräns, inte en ersättning för principen om minsta privilegium. Praktisk hygien spelar roll här: begränsa vem som kan köra en dekrypteringsoperation i CI, skriv aldrig ut dekrypterade värden till byggloggar och övervaka Sealed Secrets-kontrollerns hälsa och dess rotationsschema för förseglingsnycklar. Validera varje förändring av någon av pipelinerna i ett icke-produktionskluster innan den rullas ut.

Vanan värd att anamma

Värdet av något av verktygen är den kontroll det upprätthåller – ett bygge som misslyckas när en klartexthemlighet smyger sig in i en commit, eller en dekrypteringsgräns som endast ett kluster kan passera – inte verktygets namn på en presentationsbild. Fäst versioner, håll de krypterade filerna granskningsbara i pull requests och behandla nyckelrotation som en schemalagd uppgift snarare än incidenthantering.

Källor: getsops/sops, bitnami/sealed-secrets.