Sealed Secrets

Was ist Sealed Secrets?

Sealed Secrets ist ein Kubernetes-Tool von Bitnami (VMware), das das Problem der sicheren Speicherung von Kubernetes-Secrets in Git-Repositories löst. In modernen GitOps-Workflows werden alle Kubernetes-Manifeste in Git versioniert – aber normale Kubernetes-Secrets sind nur Base64-codiert und dürfen nie in ein Repository eingecheckt werden. Sealed Secrets verschlüsselt Secrets asymmetrisch mit einem Cluster-seitigen Schlüssel, sodass die verschlüsselten "SealedSecrets"-Ressourcen sicher in Git gespeichert werden können.

Funktionsweise und Komponenten

Sealed Secrets besteht aus zwei Teilen: dem Server-seitigen Controller, der im Kubernetes-Cluster läuft und SealedSecrets entschlüsselt, und dem Client-seitigen CLI-Tool kubeseal, mit dem Secrets verschlüsselt werden. Der Controller besitzt ein asymmetrisches Schlüsselpaar; der öffentliche Schlüssel kann von kubeseal heruntergeladen und verwendet werden, um Secrets zu versiegeln. Nur der Controller mit dem privaten Schlüssel kann sie entschlüsseln. SealedSecrets können für den ganzen Cluster oder namespacesspezifisch versiegelt werden.

GitOps-Integration und Vergleich mit Alternativen

In GitOps-Setups mit ArgoCD oder FluxCD ist Sealed Secrets die einfachste Lösung für Secret-Management. Alternativen wie External Secrets (das Secrets aus externen Vaults wie HashiCorp Vault, AWS Secrets Manager etc. synchronisiert) oder SOPS (ein allgemeines Datei-Verschlüsselungs-Tool) sind mächtiger, aber komplexer. Für Teams, die einen einfachen, Kubernetes-nativen Ansatz ohne externe Secret-Store-Abhängigkeit bevorzugen, ist Sealed Secrets die optimale Wahl.

Sealed Secrets im TYPONiels Tech-Radar

Im TYPONiels Tech-Radar ist Sealed Secrets das empfohlene Tool für Secret-Management in GitOps-Workflows. Es löst das "Secrets in Git"-Problem elegant und ohne externe Abhängigkeiten, was es zur natürlichen Ergänzung für ArgoCD- und FluxCD-basierte Deployment-Pipelines macht.