rustrial/k8s-gitops-secrets-controller

k8s-gitops-secrets 镜像文档

概述

k8s-gitops-secrets是一个专为Kubernetes设计的GitOps密钥控制器，旨在通过GitOps工作流自动化管理Kubernetes集群中的密钥资源。该控制器能够从指定的Git仓库拉取密钥配置，同步到Kubernetes Secrets，并在Git仓库中的密钥发生变更时自动更新集群内的密钥，确保密钥管理的一致性、可追溯性和安全性。

核心功能

• GitOps密钥同步：从Git仓库自动拉取密钥配置并同步到Kubernetes Secrets
• 版本控制与审计：跟踪密钥的全量变更历史，支持版本回滚与审计追踪
• 自动更新机制：实时监测Git仓库变更，触发Kubernetes密钥自动更新
• 安全集成：支持与加密工具（如SOPS、Vault）集成，保护Git仓库中的敏感数据
• 多环境管理：通过Git分支或目录隔离开发、测试、生产环境的密钥配置
• 冲突处理策略：提供"覆盖"或"保留"模式处理密钥配置冲突

使用场景

• GitOps工作流中的密钥管理：适用于采用GitOps实践的Kubernetes集群，统一管理密钥生命周期
• DevOps团队协作：支持团队通过Git协作编辑密钥配置，结合代码审查流程确保合规性
• 动态密钥更新：需频繁更新密钥（如API令牌、证书）的应用场景，减少手动操作
• 多集群密钥分发：在联邦Kubernetes环境中，通过Git仓库统一分发密钥到多个集群

使用方法

部署方式

1. 通过kubectl部署

创建部署清单（deployment.yaml）：

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: k8s-gitops-secrets-controller
  namespace: gitops-system
spec:
  replicas: 1
  selector:
    matchLabels:
      app: k8s-gitops-secrets
  template:
    metadata:
      labels:
        app: k8s-gitops-secrets
    spec:
      containers:
      - name: controller
        image: rustrial/k8s-gitops-secrets:latest
        env:
        - name: GIT_REPO_URL
          value: "https://github.com/your-org/k8s-secrets-repo.git"  # Git仓库URL
        - name: GIT_BRANCH
          value: "main"  # 目标分支
        - name: SYNC_INTERVAL
          value: "300s"  # 同步间隔（默认5分钟）
        - name: TARGET_NAMESPACE
          value: "default"  # 目标命名空间（留空表示所有命名空间）
        - name: GIT_CREDENTIALS_SECRET
          value: "git-creds"  # 存储Git访问凭证的Kubernetes Secret名称

应用部署清单：

bash
kubectl apply -f deployment.yaml -n gitops-system

2. 通过Helm部署（推荐）

bash
# 添加Helm仓库（如项目提供）
helm repo add k8s-gitops-secrets https://rustrial.github.io/k8s-gitops-secrets
helm repo update

# 安装控制器
helm install k8s-gitops-secrets k8s-gitops-secrets/k8s-gitops-secrets \
  --namespace gitops-system \
  --create-namespace \
  --set git.repoUrl=https://github.com/your-org/k8s-secrets-repo.git \
  --set git.branch=main \
  --set sync.interval=300s \
  --set targetNamespace=default

配置参数

使用示例

1. 准备Git仓库密钥配置

在Git仓库中创建密钥配置目录（如secrets/），添加密钥文件：

yaml
# secrets/prod-db-secret.yaml
apiVersion: v1
kind: Secret
metadata:
  name: prod-db-credentials
  namespace: production
type: Opaque
data:
  username: YWRtaW4=  # base64编码的"admin"
  password: cGFzc3dvcmQxMjM=  # base64编码的"password123"

2. 部署控制器并验证

bash
# 部署控制器后检查Pod状态
kubectl get pods -n gitops-system

# 验证密钥是否同步
kubectl get secret prod-db-credentials -n production -o yaml

3. 更新密钥

修改Git仓库中的prod-db-secret.yaml并提交，控制器将在同步间隔内自动更新Kubernetes Secret：

bash
# 查看更新后的密钥
kubectl get secret prod-db-credentials -n production -o jsonpath='{.data.password}' | base64 -d

注意事项

• 敏感数据加密：必须对Git仓库中的密钥配置文件进行加密（推荐使用SOPS），避免明文存储
• 最小权限原则：限制控制器的RBAC权限，仅授予必要的Secrets管理权限
• 备份策略：定期备份Git仓库中的密钥配置，防止数据丢失
• 监控告警：配置日志监控（如Prometheus+Grafana），及时发现同步失败或认证错误

完整文档请参考官方项目地址：https://github.com/rustrial/k8s-gitops-secrets