使用kubeseal加密Secret后ArgoCD解密封失败：base64非法数据问题

问题根源 #

你遇到的ErrUnsealFailed错误确实和ENCODED_CREDENTIALS字段的预base64编码内容有关，核心原因有两个：

• 若使用stringData字段定义Secret，Kubernetes会自动将所有字段内容做一次base64编码后存入data字段，导致你的预编码字符串被双重base64编码，Sealed Secrets控制器解密时无法解析这种嵌套编码的内容。
• 预编码的base64字符串若包含换行、空格等非标准格式字符，会导致Sealed Secrets在解密解析时触发illegal base64 data错误。

解决步骤 #

1. 生成标准无换行的base64编码内容 #

重新生成ENCODED_CREDENTIALS对应的base64字符串，确保无换行符：

# Linux/macOS
cat your-service-account.json | base64 -w 0 > encoded-credentials.txt

# Windows PowerShell
Get-Content your-service-account.json | Out-String | [Convert]::ToBase64String([Text.Encoding]::UTF8) | Out-File encoded-credentials.txt

2. 使用data字段定义原始Secret #

直接用data字段存储已编码的内容，避免Kubernetes自动二次编码：

apiVersion: v1
kind: Secret
metadata:
  name: secrets
type: Opaque
data:
  PORT: MzAwMA==
  MONGODB_HOSTNAME: aG9zdG5hbWU=
  MONGODB_USER: ZmFyZXM=
  MONGODB_PASSWORD: cGFzc3dvcmQ=
  MONGODB_TEST_HOSTNAME: bG9jYWxob3N0
  ENCODED_CREDENTIALS: ewog...  # 替换为步骤1生成的无换行base64字符串

注：上述data中的其他字段（如PORT、MONGODB_HOSTNAME等）需自行转换为base64编码，可通过echo -n "内容" | base64生成。

3. 重新生成并部署Sealed Secret #

用调整后的Secret文件重新执行kubeseal加密：

kubeseal --controller-name=sealed-secrets --controller-namespace=kube-system < secret.yaml > sealed-secret.yaml

将生成的sealed-secret.yaml提交给ArgoCD部署即可。

验证方法 #

在加密前先验证普通Secret的正确性：

# 创建普通Secret
kubectl create -f secret.yaml

# 验证ENCODED_CREDENTIALS字段解析正常
kubectl get secret secrets -o jsonpath='{.data.ENCODED_CREDENTIALS}' | base64 -d

确认输出为正确的JSON内容后，再执行kubeseal加密操作，避免提前引入格式问题。

内容的提问来源于stack exchange，提问作者Fares