External Secrets Operator
Opérateur Kubernetes qui récupère des secrets dans un coffre externe (Vault, AWS Secrets Manager, GCP Secret Manager, Azure Key Vault) et les expose comme de simples objets Secret K8s.
On écrit une ressource ExternalSecret qui pointe vers un secret d'un SecretStore externe ; l'opérateur l'interroge à intervalles réguliers et met à jour le secret K8s quand la source change. Les pods le lisent comme d'habitude — l'application ignore jusqu'à l'existence de Vault.
Fait mieux que le Vault Agent Sidecar Injector : modèle mental plus simple, aucune modification du pod spec, moindre surcoût en ressources. La voie CNCF standard pour synchroniser les secrets en 2024.