k8sのシークレット管理をちょっとだけ楽にした話

Road to SRE NEXT 2026 @神戸の発表資料

Transcript

1. k8s のシークレット管理を ちょっとだけ楽にした話 Road to SRE NEXT 2026 @ 神戸 2026/6/5
2. 自己紹介 無双（@nishi_okashi ） SRE チームのエンジニア 加古川生まれ、稲美町在住 AKASHI.rb の管理人 Super Ramen Engineer
3. 今日話すこと k8s(EKS) を運用して約2 年 Secret の管理につらみがあった それをどうやって解決したかを話します
4. 前提のはなし（弊社のCI/CD ） GitOps を採用 (Flux / ArgoCD) システムの設定ファイルをすべてGit リポジトリ（GitHub 等）で 管理 そのため、Secret もGit に置く必要がある
5. Secret のマニフェスト 中身はBase64 エンコードされているだけ apiVersion: v1 kind: Secret metadata: name: db-credentials type: Opaque data: username: YWRtaW4= # admin password: cGFzc3dvcmQxMjM= # password123
6. 危険が危ない
7. はじめは暗号化して管理 SOPS: Secrets OPerationS 「キー」はそのまま、 「値」だけを暗号化できるツール AWS KMS などで暗号化できる GitOps ツールと連携して自動復号
8. 暗号化したSecret のマニフェスト apiVersion: v1 kind: Secret metadata: name: db-credentials type: Opaque data: username: ENC[AES256_GCM,data:k8vQ==,iv:9Hx...,tag:Lm2...,type:str] password: ENC[AES256_GCM,data:pZ3rT9w==,iv:Qa1...,tag:Rb7...,type:str] sops: kms: - arn: arn:aws:kms:ap-northeast-1:123456789012:key/xxxx-xxxx encrypted_regex: ^(data|stringData)$
9. SOPS のつらみ ①：登録がめんどくさ い 1. パスワードを考える 2. 値ごとにBase64 へ変換する echo -n 'password123' | base64 3. Secret のマニフェストに手で書き込む 4. 暗号化する sops encrypt -i secret.sops.yaml
10. できれば平文をシュッと登録したい
11. SOPS のつらみ ②：結局Git に機密情報 が残る 暗号化しているとはいえ、機密情報をGit に置くことに変わりはな い 暗号化前に誤ってpush するリスクも残る
12. やっぱり機密情報はGit 外で管理した い、 、 、
13. 取り込み役：ESO 外部ストアの値からk8s Secret を作るツール（External Secrets Operator ） どこからSecret を取ってくるかを書くだけ ESO が裏でk8s Secret を作成・同期
14. ExternalSecret のマニフェスト（抜粋） spec: refreshInterval: "1m" secretStoreRef: name: openbao kind: SecretStore target: name: db-credentials data: - secretKey: password remoteRef: key: database/db-credentials property: password
15. 保管先：OpenBao Git 外のSecret ストアとして採用 HashiCorp Vault からフォークされ、互換性をもつOSS 機密情報を一元管理するSecret ストア
16. 実際の画面
17. なぜOpenBao ？ Secret 専用ツールなので、開発者は値を入れるだけ（AWS/GCP の マネコン操作が不要） セルフホストのOSS なので、Secret 数に応じた従量課金がない 特定のクラウドベンダーにロックインされない（マルチクラウド・ 移行耐性）
18. まとめ Before 登録が手間（Base64 化 → 手書き → 暗号化） 暗号化してもGit に機密情報が残る After ：OpenBao で誰でも簡単に登録できる 登録の手間が減った（toil 削減） Git に機密情報が載らない（誤push の心配もなし） 対価として、Secret ストアの信頼性は自分たちで担保する
19. ご清聴ありがとうございました