External Secrets Operator
Operador de Kubernetes que obtiene secretos de un almacén externo (Vault, AWS Secrets Manager, GCP Secret Manager, Azure Key Vault) y los proyecta como objetos Secret normales de K8s.
Se escribe un CR ExternalSecret que apunta a un secreto en un SecretStore externo; el operador consulta/refresca y actualiza el secreto de K8s cuando cambia el origen. Los pods lo leen como siempre — la aplicación no sabe que Vault existe.
Gana frente a Vault Agent Sidecar Injector: modelo mental más simple, sin cambios en el spec del pod, menor sobrecarga de recursos. La vía estándar de la CNCF para sincronizar secretos en 2024.