Quản lý Secrets an toàn trong Kubernetes bằng HashiCorp Vault và External Secrets Operator

Sai lầm nguy hiểm: Lưu Secret mã hóa Base64 trong Git#

Nhiều team mới dùng Kubernetes vẫn lầm tưởng rằng Kubernetes Secret là bảo mật. Thực tế, dữ liệu trong K8s Secret mặc định chỉ được mã hóa dạng Base64 thuần túy:

echo "cGFzc3dvcmQxMjM=" | base64 --decode # -> password123!

Bất kỳ ai có quyền xem pod hoặc repo git (nếu commit nhầm manifest) đều có thể giải mã chuỗi kết nối database trong vòng 1 giây.

Để đạt chuẩn bảo mật doanh nghiệp, giải pháp tiêu chuẩn hiện nay là kết hợp HashiCorp Vault với External Secrets Operator (ESO).

Kiến trúc đồng bộ tự động với External Secrets Operator#

[ HashiCorp Vault ] (Nơi lưu trữ bí mật tập trung, có audit log)
        ▲
        │  (Đồng bộ qua Token an toàn)
[ External Secrets Operator (ESO) ]
        ▼
Kubernetes Secret Native (Tự động cập nhật vào Pod)

Khai báo SecretStore và ExternalSecret Manifest#

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: topdev-db-secret
spec:
  refreshInterval: "1h" # Tự động làm mới mỗi giờ
  secretStoreRef:
    name: vault-backend
    kind: ClusterSecretStore
  target:
    name: app-db-credentials # Tên Secret sinh ra trong K8s
    creationPolicy: Owner
  data:
    - secretKey: DATABASE_URL
      remoteRef:
        key: secret/data/production/database
        property: url

3 Lợi ích vượt trội của mô hình này#

1. Zero Secret in Git: Trong repo Git chỉ chứa manifest định nghĩa đường dẫn, không bao giờ chứa mật khẩu thật.
2. Hỗ trợ Secret Rotation tự động: Khi bạn đổi mật khẩu database trên Vault, ESO tự động đồng bộ giá trị mới vào Kubernetes mà không cần dev phải can thiệp.
3. Audit Log chi tiết: Biết chính xác ai đã đọc mật khẩu và vào thời điểm nào.

Góc thảo luận#

Team bạn đang quản lý mật khẩu môi trường (environment secrets) bằng cách nào? Có đang dùng Doppler, Infisical, AWS Secrets Manager hay HashiCorp Vault?

Xem thêm nội dung liên quan:

• Lộ trình DevOps & Cloud Security
• Review công cụ quản trị server