bitnami/sealed-secrets

说明与用途

**项目简介**
bitnami/sealed-secrets 是一个基于 Go 实现的 Kubernetes 控制器和 CLI 工具，能够对 Secret 进行单向加密（Sealed Secret），从而在 GitOps 工作流中安全地存储和同步机密数据。

**价值**

**消除手工操作**：开发者只需一次性加密 Secret，后续所有部署都可以直接使用已加密的 SealedSecret，避免了在 CI/CD 流程中手动创建或导入明文 Secret。
**实现可重复的流水线**：加密后的对象可以和代码一起提交到 Git，配合 Argo CD、Flux 等 GitOps 工具，实现“代码即配置、配置即部署”。
**支持自动化任务**：可在定时任务或自定义控制器中调用 kubeseal，实现批量加密、轮转密钥等运维操作。

**典型接入方式**

**部署控制器**：使用 Helm、Kustomize 或直接 kubectl apply -f https://github.com/bitnami/sealed-secrets/releases/download/vX.Y.Z/controller.yaml 将 SealedSecrets 控制器安装到目标集群。
**生成密钥对**：在本地或 CI 环境运行 kubeseal --fetch-cert > pubkey.pem，获取集群公开密钥。
**加密 Secret**：使用 kubeseal --cert pubkey.pem -o yaml < plain-secret.yaml > sealed-secret.yaml 将普通 Secret 加密为 SealedSecret。
**提交到 Git**：将生成的 sealed-secret.yaml 与其他 K8s 资源一起提交，GitOps 工具会自动把它解密并创建真实的 Secret。
**验证**：在集群中执行 kubectl get sealedsecret 或 kubectl get secret 确认解密成功。

**生产可用性**

**活跃度高**：截至 2026‑06‑24，项目拥有 9,163+ 星、774+ Fork，最近一次提交在同一天，说明维护持续且活跃。
**生态兼容**：官方提供 Helm Chart、Kustomize 示例，兼容主流 GitOps 平台（Argo CD、Flux），并已被多家企业在生产环境中使用。
**安全性**：采用单向加密，密钥只保存在控制器内部；即使 SealedSecret 泄露，也无法逆向得到明文。
**风险**：仍需对许可证（Apache‑2.0）和安全审计报告进行最终确认，确保符合组织合规要求。

综上，bitnami/sealed-secrets 在自动化、DevOps 场景下具备高可用性和易集成的特性，适合作为机密管理的首选 OSS 方案，在小规模 PoC 验证后即可推广到生产环境。

bitnami/sealed-secrets helps remove repetitive manual operations from a workflow.

High for an OSS candidate: recent activity, adoption, and ecosystem signals are strong enough for a serious pilot.