VKS v2.0 no sincroniza los Secure Notes (authentik-config, db-app, db-superuser) — 2026-09-27
VKS solo detecta los ítems Login (9) y ya no sincroniza los Secure Note
del namespace authentik (authentik-config, authentik-db-app,
authentik-db-superuser), que quedan congelados en su estado de hace 18 días.
Estado
| Campo |
Valor |
| Primera aparición |
2026-09-27 |
| Estado |
Abierto |
| Resuelto |
— |
| Severidad |
Media |
| Servicios afectados |
Vaultwarden Kubernetes Secrets (VKS), Authentik |
Síntomas
- El sync de VKS procesa 9 secretos (todos ítems Login con campo
namespaces), pero no aparecen los Secure Note de authentik.
kubectl -n authentik get secret muestra authentik-config (14 claves),
authentik-db-app y authentik-db-superuser con 18 días de antigüedad y
sin reflejar cambios recientes en Vaultwarden.- Al añadir
HOMEPAGE_OIDC_CLIENT_SECRET al ítem authentik-config de
Vaultwarden, VKS no lo propagó al Secret del cluster: hubo que parchearlo
a mano (kubectl patch secret authentik-config) para desbloquear Homepage.
Cronología
| Hora (CEST) |
Evento |
Evidencia |
| 2026-09-27 |
Sync de VKS: "Processing 9 secrets across 6 namespaces"; authentik solo con authentik-cnpg-backup |
kubectl -n vaultwarden-kubernetes-secrets logs ... |
| 2026-09-27 |
authentik-config sin HOMEPAGE_OIDC_CLIENT_SECRET tras el sync |
kubectl -n authentik get secret authentik-config |
Causa raíz
Pendiente de confirmar. Hipótesis principal: el bump a VKS 2.0.0 (vía
renovate) cambió el formato de detección de Secure Note. La config actual del
deployment usa SYNC__FIELD__SECRETBLOCKPREFIX=secret y
SYNC__FIELD__INLINEKVPREFIX=kv, lo que sugiere que v2.0 espera Secure Note con
campos prefijados (secret.* / kv.*) en lugar de YAML crudo en notes (como
documenta AGENTS.md y como se crearon estos ítems hace 18 días).
Lo que se descartó
| Hipótesis |
Resultado |
| Los ítems se borraron de Vaultwarden |
No confirmado: los Secrets siguen en el cluster (VKS no los borra como huérfanos) |
| Fallo de conectividad a Vaultwarden |
No: el sync completa y actualiza los ítems Login |
Resolución / Plan de acción
- [ ] Confirmar el formato esperado de Secure Note en VKS v2.0
(
secret block vs kv inline vs YAML en notes).
- [ ] Migrar los 3 ítems (
authentik-config, authentik-db-app,
authentik-db-superuser) al formato correcto.
- [ ] Verificar que VKS los vuelve a detectar y sincronizar.
- [ ] Nota: el parche manual actual de
authentik-config (clave
HOMEPAGE_OIDC_CLIENT_SECRET) es drift y se perderá si VKS lo re-sincroniza
con un ítem que no tenga esa clave.
Hipótesis pendientes
- ¿El bump a v2.0 fue por renovate? ¿Había docs/CHANGELOG del cambio de formato?
- ¿Afecta también a otros Secure Note fuera de
authentik (si los hubiera)?
Referencias