Values mit helm-secrets und SOPS verschlüsseln

Was wäre, wenn Sie Secret-Werte sicher in Git aufbewahren könnten? Verschlüsselung macht das möglich: Die Datei ist ohne den passenden Schlüssel nicht lesbar. 🔐

SOPS ist ein Tool, das die Werte in einer YAML-Datei verschlüsselt, während die Schlüssel lesbar bleiben, sodass Diffs weiterhin verständlich sind.

Eine wichtige Stärke von SOPS besteht darin, dass nur die Werte verschlüsselt werden. Sie sehen weiterhin, welche Schlüssel vorhanden sind, nicht jedoch deren geheimen Inhalt.

SOPS verschlüsselt mit einem Master-Schlüssel eines Anbieters wie age, AWS KMS oder GCP KMS, sodass nur autorisierte Personen entschlüsseln können.

Das Plugin helm-secrets verbindet SOPS und Helm. Dadurch kann Helm Ihre verschlüsselte Values-Datei während eines Befehls direkt entschlüsseln.

Sie übergeben eine Values-Datei an das Plugin, um sie direkt zu verschlüsseln. So werden Secrets im Klartext in sicheren Chiffretext umgewandelt, der für Git geeignet ist.

Bei der Installation oder Aktualisierung entschlüsselt helm-secrets die Datei nur für diesen Durchlauf und übergibt den Klartext ausschließlich im Arbeitsspeicher an Helm.

Sie setzen normalen Helm-Befehlen einfach secrets voran. Das Plugin übernimmt die Entschlüsselung und leitet anschließend alles an Helm weiter.

Sie committen die verschlüsselte Datei und halten den Klartext vollständig aus Git heraus. Das Repository enthält damit nichts, was für einen Angreifer nützlich wäre.

Um zu ändern, wer ein Secret lesen kann, rotieren Sie die Schlüssel und verschlüsseln die Datei erneut. SOPS unterstützt mehrere Empfänger für den gemeinsamen Zugriff.

Das gesamte Modell setzt darauf, dass der Entschlüsselungsschlüssel außerhalb des Repositorys bleibt – verwaltet von Personen oder einem KMS und niemals neben dem Chiffretext.

Sie haben gelernt, wie helm-secrets zusammen mit SOPS Werte für die sichere Speicherung in Git verschlüsselt und erst zum Deployment-Zeitpunkt entschlüsselt. 🎉