kubernetes - 如果我可以解码 Kubernetes secret ，它们有什么意义？

Question

我可以轻松获取存储在 Kubernetes 中的 secret .

$ kubectl get secret my-app-secrets -o yaml

从我要解码的输出中选择 secret 值。

示例 ZXhwb3NlZC1wYXNzd29yZAo=

$ echo ZXhwb3NlZC1wYXNzd29yZAo= | base64 --decode
> exposed-password

我不确定我是否了解 Kubernetes 中的 secret 资源的有效性生态系统，因为它很容易获得。

Answer 1

base64是编码，而不是加密，它允许您以方便的方式简单地编码信息。

您编码的数据可能包含许多无法识别的字符、换行符等，因此对它们进行编码很方便。

在 kubernetes 中，您可以使用此 instruction 启用加密.

但是 kubernetes 不应该是唯一的真实来源，而是 kubernetes 从您需要选择的外部保管库加载这些 secret ，例如 hashicorp's vault ，如评论中所示。

除了 hashicorp vault，还有多种方式可以在 git 中存储 secret :

Helm secrets

Kamus

Sealed secrets

git-crypt

您可能还对 kubesec 感兴趣项目，可用于分析 kubernetes 资源的安全风险。