Долгие годы секреты в Kubernetes хранились ровно так же, как и всё остальное: в виде YAML файла, лежащего в том же репозитории, что и манифесты приложения. Это было удобно, знакомо и, как выяснилось со временем, глубоко ошибочно. Стандартный ресурс Secret в Kubernetes кодирует значения в base64, и это часто ошибочно принимают за шифрование. На самом деле это просто обфускация: base64 обратимо декодируется одной командой, а сам ресурс хранится в etcd в виде, который любой, получивший доступ к хранилищу кластера, способен прочитать без единого ключа. Документация Kubernetes честно предупреждает об...