Kubernetes secret 加密

Question

我有部署到 Kubernetes 集群(使用 Google Cloud Kubernetes 托管)的 pod。这些 pod 使用一些 secret，它们是纯文本文件。我将 key 添加到 yaml 文件并部署了部署。该应用程序运行良好。

现在，假设有人破坏了我的代码并以某种方式访问​​了我在容器上的所有文件。在这种情况下，攻击者可以找到 secrets 目录并打印其中写入的所有 secret 。这是纯文本。

问题:

为什么使用 kubernetes-secrets 而不是纯文本更安全？

Answer 1

有不同级别的安全性，正如@Vishal Biyani 在评论中所说，听起来您正在寻找可以从 Sealed Secrets 等项目中获得的安全级别。

正如您所说，开箱即用的 secret 不会在容器级别为您提供加密。但它确实通过 kubectl 和 kubernetes API 提供了对访问的控制。例如，您可以使用基于角色的访问控制，以便特定用户可以看到 secret 的存在，而无需(通过 k8s API)看到它的值(value)。