Criptografando valores com helm-secrets e SOPS

E se você pudesse manter valores secretos com segurança no Git? A criptografia torna isso possível: o arquivo não pode ser lido sem a chave correta. 🔐

SOPS é uma ferramenta que criptografa os valores dentro de um arquivo YAML e mantém as chaves legíveis, para que as diferenças continuem fazendo sentido.

Uma grande vantagem do SOPS é criptografar apenas os valores. Você ainda pode ver quais chaves existem, mas não o conteúdo secreto delas.

O SOPS criptografa usando uma chave mestra de um provedor como age, AWS KMS ou GCP KMS, para que somente pessoas autorizadas possam descriptografar.

O plug-in helm-secrets conecta o SOPS ao Helm, permitindo que o Helm descriptografe o arquivo de valores criptografado durante a execução de um comando.

Você envolve um arquivo de valores com o plug-in para criptografá-lo no próprio local, transformando segredos em texto simples em texto cifrado seguro, pronto para o Git.

Durante a instalação ou atualização, o helm-secrets descriptografa o arquivo apenas para aquela execução e fornece o texto simples ao Helm somente na memória.

Basta adicionar secrets como prefixo aos comandos normais do Helm. O plug-in cuida da descriptografia e depois encaminha tudo ao Helm.

Você confirma o arquivo criptografado e mantém o texto simples totalmente fora do Git. O repositório não contém nada útil para um invasor.

Para alterar quem pode ler um segredo, faça a rotação das chaves e criptografe o arquivo novamente. O SOPS é compatível com vários destinatários para acesso compartilhado.

Todo o modelo depende de a chave de descriptografia permanecer fora do repositório, sob a posse de pessoas ou de um KMS, nunca ao lado do texto cifrado.

O que o SOPS criptografa em um arquivo YAML?

Você aprendeu como o helm-secrets junto com o SOPS criptografa valores para um armazenamento seguro no Git e os descriptografa apenas no momento da implantação. 🎉