Szyfrowanie wartości za pomocą helm-secrets i SOPS
Bezpieczne przechowywanie zaszyfrowanych wartości sekretów w Git.
Szyfrowanie wartości za pomocą helm-secrets i SOPS to bezpłatna lekcja Helm Academy na CoddyKit. To lekcja 2 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Helm Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Helm Academy zawiera 4 lekcji w sumie.
Zaszyfruj, a następnie zatwierdź
A gdyby można było bezpiecznie przechowywać wartości sekretów w Git? Szyfrowanie to umożliwia: plik jest nieczytelny bez właściwego klucza. 🔐
Poznaj SOPS
SOPS to narzędzie szyfrujące wartości w pliku YAML i pozostawiające klucze czytelne, dzięki czemu porównania zmian nadal są zrozumiałe.
Szyfrowane są tylko wartości
Jedną z najważniejszych zalet SOPS jest szyfrowanie wyłącznie wartości. Nadal można zobaczyć, jakie klucze istnieją, ale nie ich tajną zawartość.
db:
password: ENC[AES256_GCM,data:9fK2...,type:str]Obsługa przez usługę kluczy
SOPS szyfruje dane za pomocą klucza głównego od dostawcy takiego jak age, AWS KMS lub GCP KMS, dzięki czemu odszyfrowywać mogą je tylko uprawnieni posiadacze klucza.
Wtyczka helm-secrets
Wtyczka helm-secrets łączy SOPS z Helmem i pozwala Helmowi odszyfrować zaszyfrowany plik values w locie podczas wykonywania polecenia.
helm plugin install https://github.com/jkroepke/helm-secretsSzyfrowanie pliku
Za pomocą wtyczki można opakować plik values, aby zaszyfrować go w miejscu, zamieniając sekrety w postaci jawnego tekstu na bezpieczny szyfrogram gotowy do umieszczenia w Git.
helm secrets encrypt secrets.yaml > secrets.enc.yamlOdszyfruj podczas wdrażania
Podczas instalacji lub aktualizacji helm-secrets odszyfrowuje plik tylko na czas danego uruchomienia, przekazując Helmowi tekst jawny wyłącznie w pamięci.
helm secrets install myapp ./chart -f secrets.enc.yamlPrefiks polecenia secrets
Wystarczy poprzedzić zwykłe polecenia Helma prefiksem secrets. Wtyczka obsługuje odszyfrowywanie, a następnie przekazuje wszystko dalej do Helma.
helm secrets upgrade myapp ./chart -f secrets.enc.yamlZatwierdzaj tylko szyfrogram
Do repozytorium zatwierdza się plik zaszyfrowany, a tekst jawny pozostaje całkowicie poza Gitem. Repozytorium nie zawiera niczego użytecznego dla atakującego.
Rotacja przez ponowne szyfrowanie
Aby zmienić osoby, które mogą odczytywać sekret, należy wykonać rotację kluczy i ponownie zaszyfrować plik. SOPS obsługuje wielu odbiorców współdzielących dostęp.
Klucze pozostają poza Gitem
Cały model opiera się na tym, że klucz deszyfrujący pozostaje poza repozytorium i jest przechowywany przez ludzi lub w KMS, nigdy obok szyfrogramu.
Szybkie sprawdzenie
Co SOPS szyfruje w pliku YAML?
Podsumowanie
Wiadomo już, jak połączenie helm-secrets i SOPS szyfruje wartości na potrzeby bezpiecznego przechowywania w Git oraz odszyfrowuje je dopiero podczas wdrażania. 🎉
Często zadawane pytania
Czy lekcja „Szyfrowanie wartości za pomocą helm-secrets i SOPS” jest bezpłatna?
Tak — pełny tekst „Szyfrowanie wartości za pomocą helm-secrets i SOPS” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Helm Academy, przejdź na CoddyKit PRO. Kurs Helm Academy zawiera 4 lekcji w sumie.
Co nauczysz się w „Szyfrowanie wartości za pomocą helm-secrets i SOPS”?
Bezpieczne przechowywanie zaszyfrowanych wartości sekretów w Git. Ćwiczysz Helm Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć Helm Academy?
Nie wymagamy żadnego doświadczenia. Helm Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 2 z 4.
Ile czasu zajmuje lekcja „Szyfrowanie wartości za pomocą helm-secrets i SOPS”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji Helm Academy?
Tak. Każda lekcja Helm Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.
Wszystkie lekcje w tym kursie
- Dlaczego sekrety nie powinny trafiać do values.yaml
- Szyfrowanie wartości za pomocą helm-secrets i SOPS
- Pobieranie z External Secrets Operators
- Tworzenie szablonów zasobów Kubernetes Secret