Secret (K8s)
Un objet Kubernetes pour la configuration sensible — mots de passe, clés d'API, certificats. Il fonctionne comme un ConfigMap mais se destine aux secrets et bénéficie d'un traitement un peu plus sécurisé. Tristement célèbre pour n'être, par défaut, qu'encodé en base64 (et non chiffré).
Mécanisme : comme les ConfigMaps, les Secrets sont injectés sous forme de variables d'environnement ou de fichiers montés. Idée reçue importante : le base64 n'est PAS du chiffrement — quiconque a un accès en lecture peut décoder un Secret sans effort. Une vraie protection suppose : le chiffrement au repos dans etcd (à activer explicitement), un RBAC qui restreint qui peut lire les Secrets, et de préférence un gestionnaire de secrets externe (HashiCorp Vault, AWS Secrets Manager) via le pilote Secrets Store CSI, ou Sealed Secrets / External Secrets pour le GitOps (afin de ne pas commiter de secrets en clair dans git). Bien manipuler les Secrets est l'une des failles de sécurité les plus courantes dans Kubernetes. Se distingue d'un ConfigMap par l'intention et par les couches de protection supplémentaires qu'il faut ajouter. Voir aussi ConfigMap et la rotation des secrets.