sealed-secrets

Sealed Secrets 是一个 Kubernetes 控制器和客户端工具（kubeseal），可将 Secret 资源加密为 SealedSecret 自定义资源。这些加密资源可安全提交到 Git 或公开共享，因为只有目标集群中运行的控制器才能将其解密回常规的 Kubernetes Secrets。加密采用非对称加密，因此即使原始作者也无法从 SealedSecret 中恢复秘密。SealedSecrets 可限定为严格模式（相同名称和命名空间）、命名空间范围或集群范围。控制器会生成并定期轮换其密钥对。kubeseal 可在运行时获取控制器证书，或使用存储的证书离线工作。安装支持通过 kubectl 清单、Helm chart、Kustomize 以及 Homebrew、MacPorts 和 Nixpkgs 等包管理器进行。该工具支持秘密轮换、修补现有秘密、原始模式和验证。它专为 GitOps 工作流设计，其中秘密内容必须保持隐藏，而配置则存放在版本控制中。