Sealed Secrets
Szyfruje sekret Kubernetesa kluczem publicznym klastra, dzięki czemu można go zatwierdzić w Git, a odczytać potrafi go tylko klaster.
Problem pojawia się w chwili, gdy wdrażasz GitOps: w repozytorium ma być wszystko poza sekretami, które w Kubernetesie są jedynie zakodowane w base64, a więc w pełni czytelne. Odpowiedź Bitnami to kontroler w klastrze, który zarządza parą kluczy. Programista uruchamia kubeseal i dostaje SealedSecret, który można bezpiecznie publikować gdziekolwiek; kontroler po zastosowaniu zamienia go na prawdziwy Secret. Domyślnie szyfrowanie jest związane z przestrzenią nazw i nazwą, więc skradzionego pliku nie da się odtworzyć w innym miejscu klastra. Haczyk: klucz mieszka w klastrze — jego utrata oznacza utratę wszystkich sekretów, więc kopia zapasowa jest obowiązkowa.