Secrets Management, bei dem Passwörter nie wieder im Klartext liegen

• Was ist der Unterschied zwischen Variable und Secret?

  Eine Variable bleibt im Cockpit lesbar, etwa ein Feature-Flag oder eine URL. Ein Secret ist ab dem Speichern nur noch überschreibbar: Keine Schnittstelle gibt den Wert zurück, auch nicht für Administratoren. Die Wahl fällt beim Anlegen.

• Kann ich eine bestehende Variable zum Secret machen?

  Ja. Das Schloss an der Zeile wandelt sie um, der Wert bleibt gleich und wird danach nie mehr angezeigt. Variablen mit Namen wie APP_KEY, *_PASSWORD oder *_TOKEN weist die Karte von sich aus darauf hin.

• Wo liegen Secrets ohne Secret Manager?

  In der Datenbank Ihres Workspaces, verschlüsselt mit AES-256-GCM und einem Schlüssel, der nur Ihrem Workspace gehört. Das reicht für viele Teams; der Secret Manager kommt dazu, wenn Versionen und Sichtbarkeit in der Scaleway-Konsole gewünscht sind.

• Welche Rechte braucht der Scaleway-Schlüssel für den Secret Manager?

  Einen IAM-Schlüssel des Projekts mit Zugriff auf den Secret Manager. Clusterward prüft ihn vor dem Speichern und legt Secrets unter /bk-operator/<App>/<Umgebung>/<Service> an. Benennen Sie etwas um, ziehen die Secrets in den passenden Ordner um.

• Was passiert, wenn ich ein Secret in der Scaleway-Konsole rotiere?

  Clusterward bemerkt die neue Version innerhalb von zehn Minuten. Der Service zeigt „Neustart ausstehend“ und eine Benachrichtigung geht raus. Mit gesetztem Häkchen startet der Service von selbst neu und läuft danach mit der neuen Version.

• Brauche ich den External Secrets Operator?

  Nein. Ohne ihn liest Clusterward den Wert beim Deployment und schreibt das Kubernetes-Secret selbst. Mit ihm synchronisiert der Operator im Cluster, und Clusterward stößt bei jedem Deployment eine Synchronisierung an und wartet darauf. Die Wahl gilt pro Cluster.

• Wie halte ich Passwörter aus Helm-Values heraus?

  Über die Karte „Chart-Secrets“ am Helm-Service. Dort legen Sie das Secret an und schreiben ${secret.NAME} in die Values. Clusterward setzt den Wert bei jedem Deployment maskiert ein und speichert ihn nie in den Values.

• Kann ich Secrets nutzen, die schon im Secret Manager liegen?

  Ja, per ID oder Pfad und Namen. Clusterward referenziert sie nur: Es schreibt keine Version und löscht sie nie. Rotationen, die Sie in der Konsole vornehmen, bemerkt es trotzdem.

• Kann ich ein bestehendes Secret in den Secret Manager verschieben?

  Ja. In seiner Zeile auf der Karte Umgebungsvariablen: „In Secret Manager verschieben…“ und den Store wählen. Der Wert zieht um, die Workspace-Datenbank behält nur den Verweis, und der nächste Deploy oder Restart liest ihn aus dem Store.

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten in der Regel am selben Werktag.