Sealed Secrets
Шифрует секрет Kubernetes открытым ключом кластера, чтобы его можно было коммитить в Git, не давая прочесть никому, кроме самого кластера.
Проблема возникает, как только вы переходите на GitOps: в репозитории должно лежать всё, кроме секретов, которые в Kubernetes всего лишь закодированы в base64 и потому полностью читаемы. Ответ Bitnami — контроллер внутри кластера, владеющий парой ключей. Разработчик запускает kubeseal и получает SealedSecret, который безопасно публиковать где угодно, а контроллер при применении расшифровывает его в настоящий Secret. По умолчанию шифрование привязано к пространству имён и имени, поэтому украденный файл нельзя воспроизвести в другом месте кластера. Подвох в том, что ключ живёт в кластере: потеряете его — потеряете все секреты, поэтому резервная копия обязательна.