External Secrets و Secret Rotation

الهدف من الدرس

ستتعلم لماذا لا نضع secrets في Git كنص صريح، وكيف تعمل أدوات مثل External Secrets Operator لنسخ السر من مزود خارجي إلى Kubernetes Secret.

الفكرة ببساطة

Kubernetes Secret ليس مدير أسرار كامل. هو object داخل cluster. في Production غالبا يكون المصدر الحقيقي في AWS Secrets Manager أو Vault أو Azure Key Vault، ثم يقوم operator بعمل sync.

Flow

flowchart LR
  SM[External Secret Store] --> ESO[External Secrets Operator]
  ESO --> KS[Kubernetes Secret]
  KS --> P[Pod env أو volume]

YAML مختصر

secret-store.yaml:

apiVersion: external-secrets.io/v1beta1
kind: SecretStore
metadata:
  name: demo-store
spec:
  provider:
    fake:
      data:
        - key: /demo/database/password
          value: "change-me"

external-secret.yaml:

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: database-password
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: demo-store
    kind: SecretStore
  target:
    name: database-password
    creationPolicy: Owner
  data:
    - secretKey: password
      remoteRef:
        key: /demo/database/password

Rotation checklist

خطوة	الهدف
أضف secret جديد في store	لا تكسر النسخة الحالية
حدّث التطبيق لقراءة القيمة الجديدة	env يحتاج restart غالبا
نفذ rollout	Pods تقرأ secret الجديد
راقب الأخطاء	تأكد أن الاتصال يعمل
احذف السر القديم	أغلق نافذة الخطر

Lab: قراءة Secret متزامن

المستوى: مبتدئ الوقت: 30 دقيقة الأدوات: kubectl

الهدف: فهم كيف يظهر ExternalSecret كـ Kubernetes Secret واختبار قيمته.

Prerequisites

External Secrets Operator مثبت إذا أردت تنفيذ المثال فعليا.

Steps

kubectl apply -f secret-store.yaml
kubectl apply -f external-secret.yaml
kubectl get externalsecret
kubectl get secret database-password
kubectl get secret database-password -o jsonpath='{.data.password}' | base64 -d

Expected output

change-me

Cleanup

kubectl delete -f external-secret.yaml
kubectl delete -f secret-store.yaml

أخطاء شائعة

الخطأ	الحل
تخزين Secret YAML في Git	استخدم External Secrets أو Sealed Secrets
تغيير Secret بدون rollout	أعد تشغيل Pods التي تقرأه كـ env
صلاحيات store واسعة	استخدم least privilege