L3 密钥管理
本页目录 3
职责：密钥不进 Git，但保持声明式可调和。文章推荐 External Secrets Operator。本层是整场演变的主线。
演变
- 起点（2026-08-17 分析）：负资产——MinIO root、Loki S3 key、ES/DB 密码明文躺在公开仓，git 历史里的值视同已泄漏
- 首选建议：Sealed Secrets + 私钥备份进 bootstrap（与 ArgoCD 摩擦最小）
- 三方案对比后拍板：集群处于反复重装期，真相源必须活在集群外 → 线上 Vault + ESO，当日部署完成。对比见 密钥方案对比
现状（实测 2026-08-17）
- 机制：ClusterSecretStore Ready；Vault 侧改值到集群 Secret 更新实测 18 秒（refreshInterval 1m 冒烟值，长期约定 1h）
- 真实密钥：
secret/k8s/minio、secret/vps/minio（轮换后的强随机值）——当前消费者只有 minio - 明文清理：见 msdnmm 密码家族清理（730 处 / 124 文件）
- 正式化欠账：unseal key 分片（rekey）、auto-unseal、审计日志轮转、snapshot 进 cron
关键取舍
「集群重装后一条命令恢复全部密钥、集群内零备份状态」是选外部真相源的核心理由；代价是公网暴露面、unseal 摩擦和备份责任，硬化过程见 Vault 线上部署与硬化。
相关：GitOps 六层堆栈 · ESO 接线 · Kubernetes Secret