series: Управление секретами
- consul-template в deploy-джобе GitLab CI Использование consul-template -once для рендеринга секретов Vault в config/ Helm chart перед helm upgrade. Паттерны HCL-шаблонов для per-service и общих секретов, рендеринг CA-сертификата, и почему это лучше ESO для инъекции секретов во время CI.
- Vault JWT auth из GitLab CI: без статических токенов Настройка Vault JWT auth с GitLab JWKS, per-environment роли с bound_claims на ref и project_path, короткоживущие Vault-токены в CI-джобах, kubeconfig получается из Vault в момент деплоя.
- External Secrets Operator + HashiCorp Vault: Kubernetes auth flow ESO аутентифицируется в Vault через токен Kubernetes ServiceAccount. ClusterSecretStore, ExternalSecret и шаги bootstrap для Vault Kubernetes auth.
- SealedSecrets: хранение зашифрованных kubeconfig в git Bitnami SealedSecrets шифрует credentials кластера для безопасного хранения в git. Воркфлоу запечатки, namespace binding, процесс обновления и траблшутинг контроллера.
- External Secrets Operator с HashiCorp Vault: JWT auth и KV v2 ClusterSecretStore ESO с Vault JWT аутентификацией через Kubernetes service accounts, синхронизация ExternalSecret с путями KV v2, refresh interval, шаблонирование секретов и сравнение ESO vs SealedSecrets.
- Sealed Secrets: полный рабочий процесс от установки до миграции кластера Воркфлоу kubeseal: установка контроллера, offline запечатка с pub cert, процедуры бэкапа cert, ротация ключей контроллера и перезапечатка всех секретов при миграции на новый кластер.
- HashiCorp Vault: bootstrap, unseal и Kubernetes auth Vault HA с Raft storage, церемония operator init, ручной unseal vs auto-unseal через YC KMS, настройка метода Kubernetes auth, KV v2, политики и привязка ролей ESO.
No posts match the selected filters.