Sealed Secrets
Criptografa um Secret do Kubernetes com a chave pública do cluster, para que ele possa ser commitado no Git sem que ninguém além do cluster consiga lê-lo.
O problema aparece assim que você adota GitOps: tudo deve estar no repositório, menos os segredos, que no Kubernetes são apenas codificados em base64 e, portanto, totalmente legíveis. A resposta da Bitnami é um controller dentro do cluster que guarda um par de chaves. O desenvolvedor roda kubeseal e recebe um SealedSecret, que pode ser publicado em qualquer lugar sem risco; o controller o descriptografa num Secret de verdade quando ele é aplicado. Por padrão, a criptografia fica atrelada ao namespace e ao nome, então um arquivo roubado não pode ser reaproveitado em outro ponto do cluster. A pegadinha é que a chave mora no cluster — perdeu, perdeu todos os segredos, e por isso o backup dela é obrigatório.