sops

SOPS 加密配置文件

补充说明

SOPS 用 age、PGP 或云 KMS 加密 YAML、JSON、ENV 和二进制文件，只加密值、保留结构，便于 Git diff 和代码审查。它常与 Flux、Argo CD、Helm Secrets 配合，在 GitOps 中安全存放密钥。

核心概念：.sops.yaml 规则、加密密钥、MAC、sops edit 和 sops exec-env。

语法

安装：

brew install sops age
# 或
go install go.mozilla.org/sops/v3/cmd/sops@latest

生成 age 密钥：

age-keygen -o age.key
cat age.key

创建 .sops.yaml：

cat > .sops.yaml <<'EOF'
creation_rules:
- path_regex: secrets/.*\.yaml$
  age: age1xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
EOF

加密文件：

sops --encrypt secrets/app.yaml > secrets/app.enc.yaml

编辑加密文件：

sops secrets/app.enc.yaml

解密：

sops --decrypt secrets/app.enc.yaml

只查看某个字段：

sops --decrypt --extract '["db"]["password"]' secrets/app.enc.yaml

使用环境变量执行命令：

sops exec-env secrets/app.enc.yaml 'env | grep DB_'

轮换密钥：

sops updatekeys secrets/app.enc.yaml

注意

• age 私钥必须安全保存，丢失后无法解密历史文件。
• .sops.yaml 的路径规则不匹配，sops edit 会用错密钥。
• 只加密值不加密 key，敏感信息可能出现在 key 名中。
• CI 中通过 Secret 注入私钥，不要提交 age.key。
• Git diff 能看到加密后的值，但看不到明文，适合审查结构变化。
• 云 KMS 模式要配置正确的 region、key ID 和 IAM 权限。
• 轮换密钥后要重新加密所有相关文件，并验证 Flux/Argo CD 能解密。
• SOPS 不负责把解密结果安全地送到应用，运行时要配合 Secret 管理。

相关命令

• sops — 加密、解密、编辑和轮换
• age-keygen — 生成 age 密钥
• age — 解密文件
• git diff — 查看加密文件变更
• flux / argocd — GitOps 解密集成

参考链接

• https://getsops.io/
• https://github.com/getsops/sops
• https://fluxcd.io/flux/guides/mozilla-sops/