Cifrado de valores con helm-secrets y SOPS

¿Y si pudiera conservar de forma segura los valores secretos en Git? El cifrado lo hace posible: el archivo resulta ilegible sin la clave correcta. 🔐

SOPS es una herramienta que cifra los valores de un archivo YAML y deja las claves legibles, de modo que las diferencias sigan siendo comprensibles.

Una de las principales ventajas de SOPS es que cifra únicamente los valores. Aún puede ver qué claves existen, pero no su contenido secreto.

SOPS cifra mediante una clave maestra de un proveedor como age, AWS KMS o GCP KMS, de modo que solo los titulares autorizados pueden descifrar.

El complemento helm-secrets conecta SOPS con Helm y permite que Helm descifre su archivo de valores cifrado sobre la marcha durante un comando.

Envuelva un archivo de valores con el complemento para cifrarlo en el mismo lugar, convirtiendo los secretos en texto plano en texto cifrado seguro, listo para Git.

Durante una instalación o actualización, helm-secrets descifra el archivo solo para esa ejecución y proporciona el texto plano a Helm únicamente en memoria.

Simplemente anteponga secrets a los comandos normales de Helm. El complemento gestiona el descifrado y luego pasa todo a Helm.

Confirma el archivo cifrado y mantiene el texto plano completamente fuera de Git. El repositorio no contiene nada útil para un atacante.

Para cambiar quién puede leer un secreto, rote las claves y vuelva a cifrar el archivo. SOPS admite varios destinatarios para compartir el acceso.

Todo el modelo depende de que la clave de descifrado permanezca fuera del repositorio, en manos de personas o de un KMS, nunca junto al texto cifrado.

¿Qué cifra SOPS en un archivo YAML?

Ha aprendido cómo helm-secrets junto con SOPS cifra los valores para almacenarlos de forma segura en Git y los descifra únicamente durante el despliegue. 🎉