В чем смысл секретов Kubernetes, если я могу их расшифровать?

Question

Я могу легко получить секреты, хранящиеся в Kubernetes.

$ kubectl get secret my-app-secrets -o yaml

Выберите секретное значение из вывода, который я хочу декодировать.

Пример ZXhwb3NlZC1wYXNzd29yZAo=

$ echo ZXhwb3NlZC1wYXNzd29yZAo= | base64 --decode
> exposed-password

Я не уверен, что понимаю эффективность ресурсов секретов в экосистеме Kubernetes, поскольку это легко получить.

Answer 1

base64 - это кодирование, а не шифрование, оно позволяет просто кодировать информацию удобным способом.

Данные, которые вы кодируете, могут содержать много нераспознанных символов, перевод строки и т. Д. c., Поэтому их удобно кодировать.

В kubernetes вы можете включить шифрование, используя эту инструкцию .

Но kubernetes не должен быть единственным источником правда, скорее kubernetes загружает эти секреты из внешнего хранилища, которое вам нужно выбрать, например, хранилище hashicorp , как указано в комментариях.

В дополнение к хранилищу hashicorp, существуют различные способы хранить секреты в git:

• Секреты шлема
• Камус
• Запечатанные секреты
• git -crypt

Вы также можете быть заинтересованы в проекте kubese c, который может быть используется для анализа ресурсов kubernetes на предмет угроз безопасности.

Answer 2

Дело в том, что в Kubernetes секрет позволяет вам защитить свой пароль (что вы хотите сделать, зашифровав его), контролируя доступ к секрету вместо зашифровав это.

Для этого есть несколько механизмов:

• Секреты могут быть доступны только тем, у кого их то же пространство имен .
• Секреты имеют права доступа как и любой другой файл, поэтому вы выбираете, кто имеет к нему доступ.
• Они отправляются только на pods всякий раз, когда требуется , но не раньше.
• Они не записаны в локальном дисковом хранилище .

При этом, если что-то пойдет не так, решения как Запечатанные секреты, созданные Bitnami или другие решения (см. ответ Мокрецова) возникли, чтобы придать этому вопросу еще больше силы, на случай, если кто-то нежелательный получит доступ к вашей тайне.