如何本地解密已密封的Sealed Secrets？求可行技术方案

1. kubeseal能否直接从Sealed Secret还原明文密钥？ #

不能。Sealed Secrets的核心设计就是只有集群内的Sealed Secrets控制器持有唯一的解密私钥，kubeseal工具仅具备加密明文Secret为Sealed Secret的能力，没有内置的解密功能——官方刻意限制了这一点，目的就是防止明文密钥在集群外被获取。

除非你能获取到控制器的私钥（这属于敏感操作，官方不推荐），否则仅靠kubeseal无法完成解密。

2. 适配场景的替代方案 #

既然你明确需要在本地获取明文密钥，以下是几种可行的方案，请注意所有方案都需要严格的权限控制，避免密钥泄露：

方案一：导出控制器私钥进行本地解密（风险较高，仅限受控环境） #

Sealed Secrets控制器的私钥存储在集群的kube-system命名空间下的sealed-secrets-key Secret中。你可以导出该私钥，然后用kubeseal的恢复模式解密：

• 导出私钥到本地文件：

  kubectl get secret -n kube-system sealed-secrets-key -o jsonpath='{.data.tls\.key}' | base64 -d > sealed-secrets.key
  

• 使用私钥解密Sealed Secret：

  kubeseal --recovery-unseal --recovery-private-key sealed-secrets.key < your-sealed-secret.yaml > plaintext-secret.yaml
  

⚠️ 注意：私钥是集群所有Sealed Secrets的核心保护屏障，绝对不能将其存入版本控制或分享给未授权人员。一旦私钥泄露，所有加密的Sealed Secret都可能被破解。

方案二：集成云密钥管理器 #

将Sealed Secrets的根私钥托管到云KMS服务（如AWS KMS、GCP KMS、Azure Key Vault），通过KMS的权限控制来管理解密权限：

• 先将控制器的私钥加密后存入KMS，本地需要解密时，通过KMS客户端（如aws kms decrypt）解密出私钥，再用方案一的方法解密Sealed Secret。
• 更安全的方式是直接用云KMS加密明文密钥，版本控制存储KMS加密后的内容，本地通过KMS客户端直接解密密钥内容，无需依赖Sealed Secrets控制器的私钥。这种方式可以通过IAM权限严格控制谁能解密。

方案三：维护受保护的明文密钥副本 #

在一个独立的、权限严格的私有存储（如加密的Git仓库、企业内部密钥管理平台）中存储明文密钥的影子副本，仅授权人员可访问：

• 主仓库存储Sealed Secret用于集群部署，私有存储存储明文密钥供本地查看。
• 确保私有存储的访问权限远高于主仓库，比如使用Git-Crypt加密仓库内容，或通过企业SSO严格限制访问人员。

方案四：替换为支持本地解密的密钥管理工具 #

如果你的核心需求是既能版本控制加密密钥，又能在本地解密查看，可以考虑替换为更灵活的工具，比如sops：

• sops支持加密YAML/JSON中的敏感字段，可使用GPG密钥或云KMS进行加密/解密。
• 本地可以直接用sops decrypt命令查看明文，同时也能生成Kubernetes Secret用于部署，完美适配版本控制和本地查看的需求。

内容的提问来源于stack exchange，提问作者Miquel puig mena