External Secrets Operator
Operatore Kubernetes che recupera i segreti da un archivio esterno (Vault, AWS Secrets Manager, GCP Secret Manager, Azure Key Vault) e li espone come normali oggetti Secret di K8s.
Si scrive una risorsa ExternalSecret che punta a un segreto in un SecretStore esterno; l'operatore lo interroga periodicamente e aggiorna il segreto di K8s quando la fonte cambia. I pod lo leggono come sempre: l'applicazione non sa nemmeno che Vault esista.
Rispetto al Vault Agent Sidecar Injector ha un modello mentale più semplice, non richiede modifiche al pod spec e consuma meno risorse. Nel 2024 è la via standard CNCF per sincronizzare i segreti.