Secret (K8s)
Obiekt Kubernetesa na poufną konfigurację — hasła, klucze API, certyfikaty. Działa jak ConfigMap, ale jest przeznaczony na sekrety i traktowany nieco ostrożniej. Niesławny z tego, że domyślnie jest tylko kodowany w base64, a nie szyfrowany.
Mechanika: podobnie jak ConfigMapy, Secrety są wstrzykiwane jako zmienne środowiskowe lub montowane pliki. Ważne nieporozumienie: base64 NIE jest szyfrowaniem — każdy z prawem odczytu zdekoduje Secret bez wysiłku. Realna ochrona wymaga szyfrowania w spoczynku w etcd (trzeba je włączyć jawnie), RBAC ograniczającego, kto może czytać Secrety, i najlepiej zewnętrznego menedżera sekretów (HashiCorp Vault, AWS Secrets Manager) przez sterownik Secrets Store CSI albo Sealed Secrets / External Secrets w GitOps (by nie wrzucać jawnych sekretów do gita).
Poprawna obsługa Secretów to jedna z najczęstszych luk bezpieczeństwa w Kubernetesie. Od ConfigMapy różni się intencją i dodatkowymi warstwami ochrony, które trzeba dołożyć.