Verschlüsselt ins Repo
Secrets liegen SOPS-verschlüsselt im Git; der
kustomize-controller entschlüsselt beim Apply
(decryption.provider: sops). Private Key als Secret
sops-age in flux-system (Key-Datei muss
auf .agekey enden). Nur
data/stringData verschlüsseln,
die Manifest-Struktur bleibt diff-bar.
age-keygen -o age.agekey cat age.agekey | kubectl create secret generic \ sops-age --namespace=flux-system \ --from-file=age.agekey=/dev/stdin sops --age=<public-key> --encrypt \ --encrypted-regex '^(data|stringData)$' \ --in-place basic-auth.yaml
# Kustomization-Ausschnitt:
spec:
decryption:
provider: sops
secretRef: {name: sops-age}