helm-secrets와 SOPS로 값 암호화하기

시크릿 값을 깃에 안전하게 보관할 수 있다면 어떨까요? 암호화를 사용하면 가능합니다. 올바른 키 없이는 파일을 읽을 수 없게 됩니다. 🔐

SOPS는 YAML 파일의 키는 읽을 수 있게 남겨 두고 값만 암호화하는 도구이므로, 변경 내용을 비교한 결과도 이해하기 쉽습니다.

SOPS의 주요 장점은 값만 암호화한다는 것입니다. 어떤 키가 존재하는지는 계속 확인할 수 있고, 시크릿의 내용만 볼 수 없게 됩니다.

SOPS는 age, AWS KMS 또는 GCP KMS와 같은 제공자의 마스터 키를 사용해 암호화하므로, 권한이 있는 사용자만 복호화할 수 있습니다.

helm-secrets 플러그인은 SOPS와 헬름을 연결하여, 명령을 실행하는 동안 헬름이 암호화된 값 파일을 즉시 복호화할 수 있게 합니다.

플러그인으로 값 파일을 감싸서 제자리에서 암호화하면, 평문 시크릿이 깃에 저장할 수 있는 안전한 암호문으로 바뀝니다.

설치 또는 업그레이드할 때 helm-secrets는 해당 실행 동안에만 파일을 복호화하고, 평문을 메모리에서만 헬름에 전달합니다.

일반적인 헬름 명령 앞에 secrets를 붙이기만 하면 됩니다. 플러그인이 복호화를 처리한 뒤 모든 내용을 헬름으로 전달합니다.

암호화된 파일만 커밋하고 평문은 깃에서 완전히 제외합니다. 저장소에는 공격자에게 유용한 내용이 남지 않습니다.

시크릿을 읽을 수 있는 사람을 변경하려면 키를 교체한 뒤 파일을 다시 암호화하십시오. SOPS는 공동 접근을 위해 여러 수신자를 지원합니다.

이 모델은 복호화 키를 저장소 외부에 두는 것을 전제로 합니다. 키는 사람이나 KMS가 보관하며 암호문 옆에는 두지 않습니다.

SOPS는 YAML 파일에서 무엇을 암호화합니까?

helm-secrets와 SOPS를 함께 사용해 깃에 안전하게 저장할 수 있도록 값을 암호화하고, 배포할 때만 복호화하는 방법을 배웠습니다. 🎉