Bitnami Sealed Secrets 软件包

Sealed Secrets 是一种“单向”加密的K8s Secrets，任何人都可以创建，但只有运行在目标集群中的控制器才能解密并恢复原始对象。

Sealed Secrets 概述

TL;DR

console
helm install my-release oci://registry-1.docker.io/bitnamicharts/sealed-secrets

希望在生产环境中使用Sealed Secrets？请尝试VMware Tanzu Application Catalog，这是Bitnami目录的商业版本。

⚠️ 重要通知：Bitnami目录即将变更

自2025年8月28日起，Bitnami将升级其公共目录，在新的Bitnami Secure Images计划下提供精选的强化、安全聚焦镜像集。作为此次转型的一部分：

• 首次向社区用户提供热门容器镜像的安全优化版本访问权限。
• Bitnami将开始在其免费层级中弃用对非强化、基于Debian的软件镜像的支持，并将逐步从公共目录中移除非最新标签。因此，社区用户将只能访问数量减少的强化镜像，这些镜像仅以“latest”标签发布，适用于开发目的。
• 从8月28日开始，在两周内，所有现有容器镜像（包括旧版本或带版本号的标签，如2.50.0、10.6）将从公共目录（docker.io/bitnami）迁移到“Bitnami Legacy”仓库（docker.io/bitnamilegacy），且不再接收更新。
• 对于生产工作负载和长期支持，建议用户采用Bitnami Secure Images，包括强化容器、更小的***面、CVE透明度（通过VEX/KEV）、SBOM以及企业支持。

这些变更旨在通过推广软件供应链完整性和最新部署的最佳实践，提高所有Bitnami用户的安全态势。更多详情，请访问Bitnami Secure Images公告。

简介

Bitnami Helm chart经过精心设计、积极维护，是在Kubernetes集群上部署容器的最快、最简单方式，这些容器已准备好处理生产工作负载。

本chart使用Helm包管理器在Kubernetes中引导部署Sealed Secret控制器。

前提条件

• Kubernetes 1.16+
• Helm 3.8.0+

安装Chart

要使用发布名称my-release安装chart：

console
helm install my-release oci://REGISTRY_NAME/REPOSITORY_NAME/sealed-secrets

注意：您需要将占位符REGISTRY_NAME和REPOSITORY_NAME替换为Helm chart仓库和存储库的引用。例如，对于Bitnami，需使用REGISTRY_NAME=registry-1.docker.io和REPOSITORY_NAME=bitnamicharts。

该命令使用默认配置在Kubernetes集群上部署Sealed Secrets控制器。参数部分列出了安装过程中可配置的参数。

提示：使用helm list列出所有发布版本

配置和安装详情

资源请求和限制

Bitnami chart允许为chart部署中的所有容器设置资源请求和限制，这些配置位于resources值中（参见参数表）。设置请求对于生产工作负载至关重要，应根据具体用例进行调整。

为简化此过程，chart包含resourcesPreset值，可根据不同预设自动设置resources部分。有关这些预设的详细信息，请参见bitnami/common chart。但在生产工作负载中，不建议使用resourcesPreset，因为它可能无法完全适应您的特定需求。有关容器资源管理的更多信息，请参阅Kubernetes***文档。

Prometheus指标

通过将metrics.enabled设置为true，本chart可与Prometheus集成。这将在容器中公开Sealed Secrets原生Prometheus端口，并创建可通过metrics.service部分配置的metrics服务。该服务还将包含必要的注解，以便Prometheus自动抓取指标。

Prometheus要求

要使集成正常工作，需要安装Prometheus或Prometheus Operator。可安装Bitnami Prometheus helm chart或Bitnami Kube Prometheus helm chart以在集群中轻松部署Prometheus。

与Prometheus Operator集成

本chart可为与Prometheus Operator集成部署ServiceMonitor对象。要实现此目的，需将值metrics.serviceMonitor.enabled设置为true。确保集群中已安装Prometheus OperatorCustomResourceDefinitions，否则将失败并显示以下错误：

text
no matches for kind "ServiceMonitor" in version "monitoring.coreos.com/v1"

安装Bitnami Kube Prometheus helm chart以获取必要的CRD和Prometheus Operator。

备份和恢复

要在Kubernetes上备份和恢复Helm chart部署，需使用Velero（Kubernetes备份/恢复工具）备份源部署的持久卷，并将其附加到新部署。有关使用Velero的说明，请参见此指南。

使用kubeseal

与Sealed Secrets控制器交互的最简单方式是使用kubeseal工具。您可从sealed-secrets/releases页面下载二进制文件安装此CLI。

安装完成后，即可使用它加密密钥或获取控制器公钥证书，如下例所示：

console
$ kubeseal --fetch-cert \
--controller-name=my-release \
--controller-namespace=my-release-namespace \
> pub-cert.pem

有关kubeseal使用的更多信息，请参阅Sealed Secrets文档中的kubeseal用法部分。

滚动标签与不可变标签

强烈建议在生产环境中使用不可变标签。这可确保如果相同标签更新为不同镜像，部署不会自动更改。

如果主容器有新版本、重大变更或严重漏洞，Bitnami将发布新chart更新其容器。

Ingress

本chart支持Ingress资源。如果集群中安装了Ingress控制器（如nginx-ingress-controller或contour），可利用Ingress控制器提供应用服务。要启用Ingress集成，需将ingress.enabled设置为true。

最常见的场景是将一个主机名映射到部署，此时可使用ingress.hostname属性设置主机名，ingress.tls参数可用于为此主机添加TLS配置。

但也可配置多个主机。为此，可设置ingress.extraHosts参数（如可用），以数组形式指定主机名；ingress.extraTLS参数（如可用）可用于为额外主机添加TLS配置。

注意：对于ingress.extraHosts参数中指定的每个主机，需设置名称、路径以及Ingress控制器应了解的任何注解。并非所有Ingress控制器都支持所有注解，但此注解参考文档列出了许多流行Ingress控制器支持的注解。

添加TLS参数（如可用）将使chart生成HTTPS URL，应用将在443端口可用。TLS密钥不必由本chart生成，但如果启用TLS，Ingress记录需在TLS密钥存在后才能工作。

了解更多关于Ingress控制器。

使用TLS保护流量

本chart便于创建用于Ingress控制器的TLS密钥（尽管非必需）。常见使用场景包括：

• 基于chart参数生成证书密钥
• 启用外部生成的证书
• 通过外部服务（如cert-manager）管理应用证书
• 在chart内创建自签名证书（如支持）

在前两种情况下，需要证书和密钥文件，文件应为.pem格式。

证书文件示例：

注意：如果存在证书链，可能包含多个证书。

text
-----BEGIN CERTIFICATE-----
MIID6TCCAtGgAwIBAgIJAIaCwivkeB5EMA0GCSqGSIb3DQEBCwUAMFYxCzAJBgNV
...
jScrvkiBO65F46KioCL9h5tDvomdU1aqpI/CBzhvZn1c0ZTf87tGQR8NK7v7
-----END CERTIFICATE-----

证书密钥示例：

text
-----BEGIN RSA PRIVATE KEY-----
MIIEogIBAAKCAQEAvLYcyu8f3skuRyUgeeNpeDvYBCDcgq+LsWap6zbX5f8oLqp4
...
wrj2wDbCDCFmfqnSJ+dKI3vFLlEz44sAV8jX/kd4Y6ZTQhlLbYc=
-----END RSA PRIVATE KEY-----

• 如果使用Helm基于参数管理证书，将这些值复制到*.ingress.secrets条目的certificate和key值中。
• 如果单独管理TLS密钥，需创建名称为INGRESS_HOSTNAME-tls的TLS密钥（其中INGRESS_HOSTNAME是占位符，需替换为使用*.ingress.hostname参数设置的主机名）。
• 如果集群有cert-manager插件用于自动管理和颁发TLS证书，可在*.ingress.annotations中添加cert-manager的相应注解。
• 如果使用Helm创建的自签名证书，需同时设置*.ingress.tls和*.ingress.selfSigned为true。

Sidecars

如果需要在Sealed Secrets所在的Pod中添加额外容器（如额外指标或日志导出器），可使用sidecars参数定义：

yaml
sidecars:
- name: your-image-name
  image: your-image
  imagePullPolicy: Always
  ports:
  - name: portname
    containerPort: 1234

如果这些sidecar导出额外端口，可使用service.extraPorts参数（如可用）添加额外端口定义，如下例所示：

yaml
service:
  extraPorts:
  - name: extraPort
    port: ***
    targetPort: ***

注意：此Helm chart已包含Prometheus导出器的sidecar容器（如适用）。可在部署时添加--enable-metrics=true参数激活这些容器。因此，sidecars参数应仅用于额外的sidecar容器。

如果需要在同一Pod中添加额外的init容器，可使用initContainers参数定义，示例如下：

yaml
initContainers:
  - name: your-image-name
    image: your-image
    imagePullPolicy: Always
    ports:
      - name: portname
        containerPort: 1234

了解更多关于sidecar容器和init容器。

Pod亲和性

本chart允许使用affinity参数设置自定义亲和性。有关Pod亲和性的更多信息，请参见Kubernetes文档。

作为替代方案，可使用bitnami/common chart中提供的Pod亲和性、Pod反亲和性和节点亲和性预设配置。为此，需设置podAffinityPreset、podAntiAffinityPreset或nodeAffinityPreset参数。

参数

全局参数

通用参数

Sealed Secrets参数