Шифрование значений с помощью helm-secrets и SOPS

Что, если значения секретов можно безопасно хранить в Git? Шифрование делает это возможным: файл нельзя прочитать без правильного ключа. 🔐

SOPS — это инструмент, который шифрует значения внутри файла YAML, оставляя ключи открытыми, чтобы различия между версиями по-прежнему были понятны.

Главное преимущество SOPS — он шифрует только значения. Вы по-прежнему видите существующие ключи, но не их секретное содержимое.

SOPS шифрует данные с помощью главного ключа от такого провайдера, как age, AWS KMS или GCP KMS, поэтому расшифровать их могут только авторизованные владельцы.

Плагин helm-secrets связывает SOPS и Helm, позволяя Helm расшифровывать файл зашифрованных значений непосредственно во время выполнения команды.

С помощью плагина Вы обрабатываете файл значений, чтобы зашифровать его на месте и превратить незашифрованные секреты в безопасный шифротекст, готовый для Git.

При установке или обновлении helm-secrets расшифровывает файл только на время этого запуска и передаёт открытый текст Helm лишь в памяти.

Просто добавьте secrets перед обычными командами Helm. Плагин выполняет расшифровку, а затем передаёт всё дальше в Helm.

Вы фиксируете зашифрованный файл и полностью исключаете открытый текст из Git. В репозитории не остаётся ничего полезного для злоумышленника.

Чтобы изменить круг тех, кто может читать секрет, ротируйте ключи и повторно шифруйте файл. SOPS поддерживает нескольких получателей для совместного доступа.

Вся модель основана на том, что ключ расшифровки остаётся вне репозитория: он хранится у людей или в KMS, а не рядом с шифротекстом.

Вы узнали, как helm-secrets вместе с SOPS шифрует значения для безопасного хранения в Git и расшифровывает их только во время развёртывания. 🎉