Sealed Secrets
Secretos cifrados en Git (se commitean como SealedSecret).
Resumen
Permite commitear secretos de Kubernetes cifrados en este repo. El controlador
los des-sella en Secret normales en el cluster. Fuente de verdad: Git (cifrado).
Estado
| Campo |
Valor |
| Estado |
Operativo |
| Argo CD Application |
sealed-secrets |
| Namespace |
kube-system |
Despliegue
| Campo |
Valor |
| Método |
Helm bitnami/sealed-secrets |
| Versión (chart/app) |
2.5.19 / 0.31.0 |
| App |
clusters/luka/apps/sealed-secrets/application.yaml |
Red
| Campo |
Valor |
| Service |
sealed-secrets (ClusterIP, ns kube-system) |
| Puertos |
8080 |
| URL |
— (no expuesto) |
Acceso y usuarios
- No hay usuarios. Se sella con
kubeseal desde la máquina de control.
- La clave maestra (privada) está en el secret
sealedsecrets.bitnami.com/sealed-secrets-key de kube-system (backup en DR).
Configuración
SealedSecret commiteados en clusters/luka/config/ (p. ej. token de Cloudflare).
Almacenamiento
- No aplica (la clave maestra es un Secret del cluster).
Dependencias
- Depende de: k3s.
- Usado por: cert-manager (token Cloudflare) y futuros secretos.
Backup y recuperación
- Backup de la clave maestra (ver
docs/runbooks/sealed-secrets.md). Sin ella no
se descifran los SealedSecret.
Monitorización
Referencias
- https://github.com/bitnami-labs/sealed-secrets
- Runbook:
docs/runbooks/sealed-secrets.md
Notas / TODO
- Evaluar Vaultwarden + External Secrets como complemento.