| 模型 | SecretStore/ClusterSecretStore 定义后端与认证；ExternalSecret 声明要拉取的键 |
|---|---|
| 同步 | 按 refreshInterval 定期对齐；变更入集群自动更新 |
| 收益 | 密钥唯一真源在外部库，集群只是投影 |
ExternalSecret 片段
ExternalSecret 片段
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
spec:
refreshInterval: 1h
secretStoreRef:
name: vault-backend
kind: ClusterSecretStore
target:
name: db-credentials
data:
- secretKey: password
remoteRef:
key: prod/db
property: password集群侧权限最小化：该控制器能读的密钥范围即攻击面范围，逐环境隔离后端。