Получение секретов из внешних операторов секретов
Получение секретов из хранилища во время развёртывания
«Получение секретов из внешних операторов секретов» — бесплатный урок Helm Academy на CoddyKit. Это урок 3 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения Helm Academy, и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс Helm Academy содержит 4 уроков всего.
Храните секреты вне чарта
Есть и другой подход: вообще не хранить секреты рядом с чартом. Вместо этого держите их в выделенном хранилище и получайте во время развёртывания.
Единый источник истины
Хранилище секретов, например HashiCorp Vault или AWS Secrets Manager, становится Вашим единым источником истины, отделённым от любого чарта или репозитория.
Оператор внешних секретов
Оператор внешних секретов, часто называемый ESO, работает в Вашем кластере и копирует значения из внешнего хранилища в секреты Kubernetes.
Установите ESO с помощью Helm
Уместно, что сам оператор устанавливается с помощью Helm из его общедоступного чарта, после чего отслеживает ресурсы, указывающие, что нужно синхронизировать.
helm install external-secrets external-secrets/external-secretsПодключитесь с помощью SecretStore
Ресурс SecretStore сообщает ESO, где находится Ваше хранилище и как пройти аутентификацию, чтобы оператор мог читать секреты от Вашего имени.
kind: SecretStore
spec:
provider:
vault:
server: https://vault.example.comЗапросите данные с помощью ExternalSecret
Ресурс ExternalSecret указывает, какие удалённые ключи нужны и какой секрет Kubernetes ESO должен создать из них.
kind: ExternalSecret
spec:
target:
name: db-credentialsESO создаёт секрет
Оператор читает данные из хранилища и создаёт обычный секрет Kubernetes. Ваши поды используют его так же, как любой другой секрет.
Ваш чарт не содержит секретов
Теперь Ваш чарт содержит только манифест ExternalSecret, но не учётные данные. Чувствительное значение хранится исключительно в хранилище. 🔐
Автоматическое обновление
ESO может обновлять секрет через заданный интервал, поэтому изменение значения в хранилище попадает в кластер без повторного развёртывания.
spec:
refreshInterval: 1hСошлитесь на него в values.yaml
В значениях чарта теперь хранится только имя синхронизированного секрета, а не сам секрет, поэтому конфигурацию безопасно фиксировать в репозитории.
existingSecret: db-credentialsРазделение ответственности
Эта модель разделяет ответственность за управление секретами и развёртывание приложений. Команды безопасности владеют хранилищем, а авторы чартов лишь ссылаются на него.
Быстрая проверка
Что на самом деле делает оператор внешних секретов?
Итоги
Вы узнали, как оператор внешних секретов синхронизирует значения из хранилища с секретами Kubernetes, поэтому чарты содержат только ссылки. 🎉
Часто задаваемые вопросы
Урок «Получение секретов из внешних операторов секретов» бесплатный?
Да — полный текст урока «Получение секретов из внешних операторов секретов» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс Helm Academy, подпишись на CoddyKit PRO. Курс Helm Academy содержит 4 уроков всего.
Чему я научусь в уроке «Получение секретов из внешних операторов секретов»?
Получение секретов из хранилища во время развёртывания Ты практикуешь Helm Academy с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.
Нужен ли мне опыт, чтобы начать Helm Academy?
Предыдущий опыт не требуется. Helm Academy на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 3 из 4.
Сколько времени занимает урок «Получение секретов из внешних операторов секретов»?
Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.
Можно ли писать и запускать код в этом уроке Helm Academy?
Да. Каждый урок Helm Academy включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.
Все уроки этого курса
- Почему секретам не место в values.yaml
- Шифрование значений с помощью helm-secrets и SOPS
- Получение секретов из внешних операторов секретов
- Шаблонизация ресурсов Secret в Kubernetes