用 Sealed Secrets 管理 Git 中的密钥

适用场景

需要把 Kubernetes Secret 安全地提交到 Git，又不想在仓库里保存明文。Sealed Secrets 用集群内的控制器私钥解密，只有目标集群能解开。

前置条件

• Kubernetes 集群和 kubectl。
• kubeseal CLI，版本与控制器兼容。
• 明确加密范围：严格模式（namespace/name 绑定）或宽松模式。
• 规划控制器私钥的备份和轮换。

步骤

1. 安装控制器：

helm repo add sealed-secrets https://bitnami-labs.github.io/sealed-secrets
helm install sealed-secrets sealed-secrets/sealed-secrets \
  --namespace kube-system \
  --set fullnameOverride=sealed-secrets-controller

2. 确认控制器就绪并获取公钥：

kubectl -n kube-system get pods -l app.kubernetes.io/name=sealed-secrets
kubeseal --fetch-cert > pub-cert.pem

3. 创建普通 Secret 并加密：

kubectl create secret generic db-secret \
  --namespace demo \
  --from-literal=password='***' \
  --dry-run=client -o yaml > db-secret.yaml

kubeseal --format yaml --cert pub-cert.pem \
  < db-secret.yaml > db-sealed.yaml

4. 提交 db-sealed.yaml 到 Git，不要提交明文 Secret：

kubectl apply -f db-sealed.yaml
kubectl -n demo get secret db-secret

5. 严格模式默认绑定 namespace 和 name。需要跨命名空间复用时，使用 --scope cluster-wide 或 namespace-wide，但要评估权限风险。

6. 备份控制器私钥：

kubectl -n kube-system get secret \
  -l sealedsecrets.bitnami.com/sealed-secrets-key \
  -o yaml > sealed-secrets-keys.yaml

把备份放在安全的位置，不要提交到 Git。

验证

• SealedSecret 资源状态为 Synced。
• 对应的 Secret 在目标命名空间生成，内容正确。
• 把 SealedSecret 复制到其他命名空间后无法解密（严格模式）。
• 控制器重启后仍能解密已有 SealedSecret。
• 私钥备份可以在测试集群恢复并解密。

回滚

• 删除 SealedSecret 不会自动删除已生成的 Secret，需单独清理。
• 私钥丢失后已有 SealedSecret 无法恢复，只能重新加密。
• 轮换私钥时保留旧密钥，确保旧资源仍可解密。
• 升级控制器前备份私钥和 CRD。

常见坑

• 把明文 Secret 或私钥备份误提交到 Git。
• kubeseal 使用的证书来自另一个集群，目标集群无法解密。
• 严格模式下改了 namespace 或 name，SealedSecret 失效。
• 控制器私钥没有备份，集群重建后所有密钥无法恢复。
• 多个控制器同时运行，公钥和私钥不匹配。
• 用 --scope cluster-wide 加密后，任何命名空间都能读取，权限过大。

相关命令

• kubeseal — 加密 Secret 和获取证书
• kubectl — 查看 SealedSecret 和 Secret
• helm — 安装和升级控制器
• openssl — 检查证书