PricingLoginStart free
DevOps Bootcamp · 课时

使用 helm-secrets 和 SOPS 加密值

在 Git 中安全存储加密的机密值

第 2 / 4 课13 个步骤

使用 helm-secrets 和 SOPS 加密值 是 CoddyKit 上的免费 DevOps Bootcamp 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 DevOps Bootcamp 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 DevOps Bootcamp 课程共包含 4 节课。

加密后再提交

如果您可以安全地将机密值保存在 Git 中呢？加密可以实现这一点：没有正确的密钥就无法读取文件。🔐

认识 SOPS

SOPS是一种在 YAML 文件中加密值、同时保留键可读性的工具，因此差异比较仍然清晰易懂。

仅加密值

SOPS的一项重要优势是只加密值。您仍然可以看到有哪些键，只是无法看到其中的机密内容。

db:
  password: ENC[AES256_GCM,data:9fK2...,type:str]

由密钥服务提供支持

SOPS 使用来自 age、AWS KMS 或 GCP KMS 等提供商的主密钥进行加密，因此只有获得授权的持有者才能解密。

helm-secrets 插件

helm-secrets插件连接了 SOPS 和 Helm，使 Helm 能够在执行命令期间即时解密您的加密值文件。

helm plugin install https://github.com/jkroepke/helm-secrets

加密文件

您可以使用该插件包装值文件，就地加密它，将明文机密信息转换为可安全提交到 Git 的密文。

helm secrets encrypt secrets.yaml > secrets.enc.yaml

部署时解密

安装或升级时，helm-secrets 只在本次运行期间解密文件，并且仅在内存中将明文传给 Helm。

helm secrets install myapp ./chart -f secrets.enc.yaml

secrets 命令前缀

您只需在普通 Helm 命令前加上secrets。插件会处理解密，然后将所有内容继续传给 Helm。

helm secrets upgrade myapp ./chart -f secrets.enc.yaml

只提交密文

您提交加密文件，并将明文完全排除在 Git 之外。这样，仓库中不会留下对攻击者有用的内容。

通过重新加密轮换密钥

如果要更改哪些人可以读取机密信息，您可以轮换密钥并重新加密文件。SOPS 支持多个接收者共享访问权限。

密钥存放在 Git 之外

整个模型都依赖于解密密钥留在仓库之外，由人员或 KMS 持有，绝不能与密文放在一起。

快速检查

SOPS 会加密 YAML 文件中的什么内容？

在交互式课程中回答

回顾

您已经了解，helm-secrets与 SOPS 如何加密值以便安全地存储在 Git 中，并且只在部署时解密这些值。🎉

免费开始

用 AI 导师学习 DevOps Bootcamp — 免费

在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。

课程
142
课程
568
免费开始学习查看完整课程

常见问题解答

「使用 helm-secrets 和 SOPS 加密值」课时是免费的吗？

是的 — 「使用 helm-secrets 和 SOPS 加密值」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 DevOps Bootcamp 课程的其余内容，请升级到 CoddyKit PRO。 DevOps Bootcamp 课程共包含 4 节课。

「使用 helm-secrets 和 SOPS 加密值」这节课中我会学到什么？

在 Git 中安全存储加密的机密值 你通过在浏览器中直接运行的动手代码来练习 DevOps Bootcamp，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 DevOps Bootcamp 需要有经验吗？

无需任何先前经验。CoddyKit 上的 DevOps Bootcamp 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。

「使用 helm-secrets 和 SOPS 加密值」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 DevOps Bootcamp 课中编写并运行代码吗？

能。每节 DevOps Bootcamp 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

  1. 为什么不应将机密信息放入 values.yaml
  2. 使用 helm-secrets 和 SOPS 加密值
  3. 从外部机密信息运算符获取机密信息
  4. 模板化 Kubernetes Secret 资源
← 返回 DevOps Bootcamp