| 流程 | kubeseal 用控制器公钥加密 → 提交 SealedSecret → 集群解密为 Secret |
|---|---|
| 作用域 | 默认绑定命名空间+名称；可配置更宽或更窄 |
| 密钥 | 控制器私钥在集群内，备份私钥并防止泄露与轮换丢失 |
加密示例
加密示例
kubectl create secret generic db --from-literal=password='...' --dry-run=client -o yaml |
kubeseal --format yaml > sealed-db.yaml
kubectl apply -f sealed-db.yamlSealedSecret 适合小规模封装；跨集群与大规模场景常配合外部密钥库使用。