Automatiser la gestion des secrets dans Kubernetes avec External Secrets Operator

La gestion des secrets (mots de passe, tokens, clés) dans Kubernetes peut rapidement devenir complexe et sensible. External Secrets Operator (ESO) permet de synchroniser automatiquement des secrets stockés dans des vaults externes (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, etc.) vers des Secret Kubernetes, avec une rotation sécurisée et transparente.

Si vous débutez avec Kubernetes, consultez d'abord notre guide d'introduction aux concepts fondamentaux de Kubernetes.

• Un cluster Kubernetes (>=1.21)
• kubectl configuré
• Store de secrets externe (HashiCorp Vault, AWS Secrets Manager…)
• Helm 3 (optionnel)

1. Ajouter le repo Helm

helm repo add external-secrets https://charts.external-secrets.io
helm repo update

2. Installer via Helm

helm install external-secrets external-secrets/external-secrets -n external-secrets --create-namespace --version 0.10.0

Exemple pour HashiCorp Vault :

apiVersion: external-secrets.io/v1beta1
kind: SecretStore
metadata:
  name: vault-secretstore
  namespace: external-secrets
spec:
  provider:
    vault:
      server: 'https://vault.example.com'
      path: 'secret/data/k8s'
      version: 'v2'
      auth:
        token:
          secretRef:
            name: vault-token
            key: token

kubectl apply -f secretstore.yaml

Le Secret vault-token contient le token d'accès :

apiVersion: v1
kind: Secret
metadata:
  name: vault-token
  namespace: external-secrets
type: Opaque
stringData:
  token: <VAULT_TOKEN>

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: db-credentials
  namespace: production
spec:
  refreshInterval: '15m'
  secretStoreRef:
    name: vault-secretstore
    kind: SecretStore
  target:
    name: prod-db-secret
    creationPolicy: Owner
  data:
    - secretKey: username
      remoteRef:
        key: prod/db
        property: username
    - secretKey: password
      remoteRef:
        key: prod/db
        property: password

kubectl apply -f externalsecret.yaml

Le Secret Kubernetes prod-db-secret contient désormais username et password.

1. Limiter les permissions du token Vault
2. Externaliser la configuration dans Git (GitOps) pour auditabilité
3. Surveiller le refresh (refreshInterval) et logs de l'Operator
4. Chiffrer les Secret Kubernetes au repos (Sealed Secrets, KMS)
5. Testez la rotation régulière des secrets

Pour les sources de secrets avancées, découvrez comment déployer et utiliser HashiCorp Vault comme backend de stockage de secrets. Pour une approche GitOps complète, intégrez External Secrets avec Argo CD pour automatiser vos déploiements sécurisés.

External Secrets Operator synchronise les secrets externes dans Kubernetes : la sécurité monte d'un cran, la rotation tourne sans intervention manuelle et la gestion des credentials reste alignée sur les pratiques DevSecOps.