Sealed Secrets

개요

Sealed Secrets는 Kubernetes 환경에서 시크릿을 안전하게 Git에 저장하고 배포할 수 있도록 도와주는 오픈소스 도구입니다. 시크릿을 암호화된 형태로 관리하며, SealedSecrets 리소스를 통해 GitOps 방식의 선언적 배포를 가능하게 합니다. 이를 통해 민감 정보를 코드 저장소에 노출시키지 않고도 안전하게 관리할 수 있습니다.

---

1. 개념 및 정의

항목	내용	비고
정의	공개 키 기반 암호화를 통해 Git에 저장 가능한 암호화된 Kubernetes Secret 관리 방식	Bitnami 개발, CNCF Sandbox 포함
목적	GitOps를 위한 안전한 시크릿 저장 및 배포	Git에 민감정보 저장 가능하게 함
적용 대상	API 키, 데이터베이스 암호, 인증 토큰 등	쿠버네티스 Secret 리소스와 호환

---

2. 특징

항목	설명	비고
공개 키 기반 암호화	클러스터 내 컨트롤러가 개인 키로 복호화	SealedSecrets 컨트롤러 사용
GitOps 친화	암호화된 리소스를 Git에 저장 및 배포	ArgoCD, Flux와 연동 가능
커스텀 리소스(CRD) 지원	SealedSecret이라는 새로운 리소스 정의	표준 Secret으로 변환됨
네임스페이스 제한	지정된 네임스페이스 외 복호화 불가	스코프 설정 지원 (strict, namespace-wide 등)

→ Git 기반 운영에 적합한 시크릿 보안 관리 전략 제공

---

3. 구성 요소

구성 요소	설명	예시
SealedSecret 리소스	암호화된 시크릿을 정의한 Kubernetes 리소스	kind: SealedSecret
kubeseal CLI	일반 Secret을 SealedSecret으로 암호화하는 CLI 도구	kubeseal --cert 명령 사용
Sealed Secrets Controller	SealedSecret을 복호화하여 Secret 생성	K8s 클러스터 내부에 상주
공개/개인 키 쌍	암호화 및 복호화에 사용되는 키	공개 키는 CLI에서 사용, 개인 키는 컨트롤러가 보유

→ 구성은 단순하지만, 시크릿 보호 수준은 매우 강력함

---

4. 기술 요소

기술 요소	설명	관련 도구
RSA 암호화	기본적으로 RSA 공개 키 암호화 사용	4096-bit 키 권장
Scope 제어 기능	strict, namespace-wide, cluster-wide 지원	범위 제한으로 오용 방지
ArgoCD 연동	GitOps 툴과의 원활한 통합 지원	SealedSecret 자동 배포 가능
CI/CD 통합	암호화된 시크릿을 빌드 파이프라인에 안전하게 포함	GitHub Actions, GitLab CI 등

→ 보안성과 DevOps 효율성을 동시에 확보할 수 있는 경량 도구

---

5. 장점 및 이점

항목	설명	기대 효과
Git 기반 시크릿 관리	시크릿도 코드처럼 Git에 버전 관리 가능	GitOps 완성도 향상
민감정보 노출 방지	Git에 평문 시크릿 저장 위험 제거	보안 사고 예방
클러스터 내 자동 복호화	별도 수동 작업 없이 Secret 생성	운영 효율성 향상
범용 사용 가능	모든 Kubernetes 클러스터에서 동작	클라우드/온프레미스 모두 지원

→ 시크릿 관리의 자동화와 보안을 동시에 달성할 수 있음

---

6. 주요 활용 사례 및 고려사항

사례	설명	고려사항
GitOps 배포 파이프라인	SealedSecret을 Git에 저장 후 ArgoCD로 배포	공개 키 보관 위치 및 자동화 스크립트 관리 필요
멀티 클러스터 환경	클러스터마다 별도 키 페어 운영 가능	키 관리 자동화 도구 필요
금융/공공기관 클러스터	강력한 시크릿 보안 요구에 대응	RSA 키 회전 주기 설정 필요
개발 환경과 분리 배포	dev/staging/prod 환경별 키 설정	네임스페이스 스코프 정확히 설정해야 함

→ 키 유출, 복호화 실패, 범위 설정 오류 등 실수 방지를 위한 철저한 운영 체계 필요

---

7. 결론

Sealed Secrets는 GitOps 환경에서 시크릿을 안전하고 효율적으로 관리할 수 있는 핵심 도구입니다. Git 저장소에 암호화된 시크릿을 선언적으로 관리하고, 클러스터 내부에서는 자동 복호화를 통해 운영 편의성과 보안을 동시에 확보할 수 있습니다. DevSecOps 전략의 필수 도구로 널리 채택되고 있습니다.