CI/CD 中的密钥注入方案：SOPS、Sealed Secrets 与 Vault
一、你的数据库密码躺在 Git 仓库里，而安全意识开会还要等三周
CI/CD 流水线里最让人头疼的不是构建失败，不是测试超时，而是密钥管理。数据库密码、API Key、证书私钥——这些敏感信息怎么安全地进入流水线的运行环境？大多数团队的做法极其原始：把密钥 base64 编码后放在 CI 变量里，或者更糟——直接提交到配置文件里（然后在 code review 中被提醒删掉……但历史记录里永远留下了）。
三种主流方案各有优劣，没有银弹。Mozilla SOPS 适合小团队的低成本起步，Sealed Secrets 适合纯 Kubernetes 环境，HashiCorp Vault 适合有统一密钥管理需求的较大组织。这三种方案不是互斥的——一套成熟的 CI/CD 系统往往会组合使用。
关键在于理解每种方案的信任链。密钥注入的安全水位不是由"你用了什么工具"决定的，而是由"从密钥存储到运行时环境的这整条链路有多少点可能泄露"决定的。
二、底层机制与原理剖析
三种方案的核心差异：
SOPS：密钥加密后直接存储在 Git 仓库中，解密依赖云 KMS（AWS KMS / GCP KMS / Azure Key Vault）。信任链：IAM 角色 → KMS 密钥 → 明文。优点是部署简单——Git 即唯一状态源；缺点是密钥加密态仍在仓库中，历史泄露风险存在。
Sealed Secrets：操作者用kubeseal命令行工具加密密钥，生成 SealedSecret CRD 提交到 Git。集群内运行的 Sealed Secrets Controller 用自己的私钥解密，生成 K8s Secret。信任链：Controller 私钥 → SealedSecret → K8s Secret。优点是紧密集成 K8s；缺点是与 K8s 强绑定，非 K8s 环境无法使用。
Vault：密钥存储在独立的 Vault 服务中，CI Runner 通过 JWT / AppRole 认证后动态获取密钥。信任链：Vault Auth → Policy → 密钥。优点是集中管理、审计日志、动态密钥轮换；缺点是运维 Vault 本身就是一个不小的工程。
三、生产级代码实现
# .sops.yaml — SOPS 配置文件 # 为什么用 age 而不是 GPG？age 密钥管理更简洁，不涉及 GPG keyring creation_rules: - path_regex: .*secrets.*\.ya?ml$ # 使用 age 公钥加密；生产环境建议替换为云 KMS ARN age: >- age1qg8p7x9f2v...（你的 age 公钥） encrypted_regex: '^(data|stringData)$'# secrets.enc.yaml — 加密后的 SOPS 文件（示例结构） apiVersion: v1 kind: Secret metadata: name: app-secrets namespace: production type: Opaque stringData: DATABASE_URL: postgres://user:ENC[AES256_GCM,data:...]==@db.internal:5432/mydb REDIS_PASSWORD: ENC[AES256_GCM,data:...]== OPENAI_API_KEY: ENC[AES256_GCM,data:...]== sops: kms: [] age: - recipient: age1qg8p7x9f2v... enc: | -----BEGIN AGE ENCRYPTED FILE----- ... -----END AGE ENCRYPTED FILE----- lastmodified: "2026-07-22T10:00:00Z"# sealed-secret.yaml — Sealed Secrets 示例 apiVersion: bitnami.com/v1alpha1 kind: SealedSecret metadata: name: app-sealed-secrets namespace: production spec: encryptedData: DATABASE_URL: AgCj1x...（kubeseal 加密后的密文，省略） REDIS_PASSWORD: AgDX9k... OPENAI_API_KEY: AgFk3m...# ci_secrets_injector.py """ CI 环境下的密钥统一注入器 支持三种后端：SOPS、Sealed Secrets、Vault 设计原则：优先使用 Vault（动态密钥），降级到 Sealed Secrets / SOPS """ import os import subprocess import json import logging from dataclasses import dataclass from typing import Dict, Optional from enum import Enum logging.basicConfig(level=logging.INFO) logger = logging.getLogger(__name__) class SecretBackend(Enum): VAULT = "vault" SOPS = "sops" SEALED_SECRETS = "sealed_secrets" @dataclass class InjectorConfig: """密钥注入配置 cascade_order 定义了降级顺序： 如果 Vault 不可用，降级到 Sealed Secrets； 如果 Sealed Secrets 也不可用，降级到 SOPS """ vault_addr: Optional[str] = None vault_token_path: Optional[str] = "/var/run/secrets/vault-token" sops_config: Optional[str] = ".sops.yaml" sealed_secret_ns: Optional[str] = "production" # 降级链：试着按这个顺序获取密钥，第一个成功的就返回 cascade_order: list = None def __post_init__(self): if self.cascade_order is None: self.cascade_order = [ SecretBackend.VAULT, SecretBackend.SEALED_SECRETS, SecretBackend.SOPS, ] def inject_secrets(config: InjectorConfig, secret_keys: list) -> Dict[str, str]: """ 依次尝试 cascade_order 中配置的后端，注入所有需要的密钥 返回：{key: value} 字典，无值则为空字符串 为什么不是抛异常而是返回空值？ CI 环境可能有"密钥缺失但允许运行"的场景（如本地开发）。 调用方负责判断哪些密钥缺失是可接受的。 """ result = {} errors = [] for backend in config.cascade_order: try: if backend == SecretBackend.VAULT: secrets = _from_vault(config, secret_keys) elif backend == SecretBackend.SEALED_SECRETS: secrets = _from_sealed_secrets(config, secret_keys) elif backend == SecretBackend.SOPS: secrets = _from_sops(config, secret_keys) else: continue # 合并结果：新键覆盖已有键 for k, v in secrets.items(): if k not in result or not result[k]: result[k] = v except Exception as e: errors.append(f"{backend.value}: {e}") logger.warning("Backend %s failed: %s", backend.value, e) continue # 缺失的密钥补充空值 for key in secret_keys: if key not in result: result[key] = "" logger.error("Secret %s not found in any backend", key) if errors and len(errors) == len(config.cascade_order): logger.error("All secret backends failed: %s", "; ".join(errors)) return result def _from_sops(config: InjectorConfig, keys: list) -> Dict[str, str]: """ SOPS 解密逻辑 前提条件：CI Runner 上有解密所需的 KMS/age 权限 """ # 查找加密文件 enc_file = None for f in os.listdir("."): if f.endswith(".enc.yaml") or f.endswith(".enc.yml"): enc_file = f break if not enc_file: raise FileNotFoundError("No encrypted SOPS file found") # 执行 sops 解密 cmd = ["sops", "--decrypt", enc_file] result = subprocess.run(cmd, capture_output=True, text=True, timeout=30) if result.returncode != 0: raise RuntimeError(f"sops decrypt failed: {result.stderr}") # 解析解密后的 YAML，提取需要的键 # 这里简化处理——实际生产环境建议用 yaml.safe_load parsed = {} for key in keys: value = os.environ.get(key, "") if not value: # 从解密结果中搜索（简化实现） for line in result.stdout.split("\n"): if line.strip().startswith(f"{key}:"): value = line.split(":", 1)[1].strip().strip('"') break parsed[key] = value return parsed def _from_vault(config: InjectorConfig, keys: list) -> Dict[str, str]: """ 从 Vault 获取密钥 使用 Vault Agent Sidecar 挂载的 token 进行认证 """ if not config.vault_addr: raise ValueError("Vault address not configured") token = "" if os.path.exists(config.vault_token_path): with open(config.vault_token_path, "r") as f: token = f.read().strip() if not token: raise RuntimeError("Vault token not found") secrets = {} vault_path = "secret/data/ci" # 使用 curl 而非 hvac 库，避免额外 Python 依赖 cmd = [ "curl", "-s", "-H", f"X-Vault-Token: {token}", f"{config.vault_addr}/v1/{vault_path}", "--connect-timeout", "5", "--max-time", "10" ] result = subprocess.run(cmd, capture_output=True, text=True) if result.returncode != 0: raise RuntimeError(f"Vault request failed: {result.stderr}") data = json.loads(result.stdout) kv_data = data.get("data", {}).get("data", {}) for key in keys: if key in kv_data: secrets[key] = str(kv_data[key]) return secrets def _from_sealed_secrets(config: InjectorConfig, keys: list) -> Dict[str, str]: """ 从 Sealed Secrets 获取密钥 依赖 kubectl 访问集群，所以只在 K8s CI Runner 场景有效 """ secrets = {} for key in keys: # 转换为 K8s Secret 的 key 格式（小写 + 下划线） k8s_key = key.lower() cmd = [ "kubectl", "get", "secret", "app-sealed-secrets", "-n", config.sealed_secret_ns, "-o", f"jsonpath={{.data.{k8s_key}}}", "--ignore-not-found" ] result = subprocess.run(cmd, capture_output=True, text=True, timeout=10) if result.returncode == 0 and result.stdout.strip(): import base64 secrets[key] = base64.b64decode(result.stdout.strip()).decode() return secrets # --------------------------------------------------------------------------- # CI 入口：在流水线脚本中调用 # --------------------------------------------------------------------------- if __name__ == "__main__": import sys # 从环境变量读取配置 config = InjectorConfig( vault_addr=os.environ.get("VAULT_ADDR"), sops_config=os.environ.get("SOPS_CONFIG", ".sops.yaml"), sealed_secret_ns=os.environ.get("K8S_NAMESPACE", "production"), ) # 所有需要的密钥列表 required_keys = [ "DATABASE_URL", "REDIS_PASSWORD", "OPENAI_API_KEY", "AWS_ACCESS_KEY_ID", "AWS_SECRET_ACCESS_KEY", ] try: secrets = inject_secrets(config, required_keys) except Exception as e: logger.critical("Fatal: secret injection failed: %s", e) sys.exit(1) # 注入到环境变量 for k, v in secrets.items(): if v: os.environ[k] = v logger.info("Injected: %s = *** (len=%d)", k, len(v)) else: logger.warning("Secret %s is empty", k) # 验证关键密钥 mandatory = ["DATABASE_URL"] missing = [k for k in mandatory if not secrets.get(k)] if missing: logger.error("Mandatory secrets missing: %s", missing) sys.exit(2) logger.info("All secrets injected successfully")四、边界分析与架构权衡
SOPS 的局限：
- 密钥加密后仍在 Git 仓库，历史版本中的旧密钥不会自动失效
- 依赖云 KMS 的可用性——KMS 挂了，CI 就瘫了
- 没有自动轮换能力，轮换需要手动重新加密、提交
Sealed Secrets 的局限：
- 强依赖 Kubernetes，如果不是 K8s 环境完全不能用
- Controller 私钥丢失 = 所有 SealedSecret 需要重新生成
- 没有审计日志，无法知道"谁用什么时间解密了哪个密钥"
Vault 的局限：
- 运维成本高——Vault 集群也需要监控、备份、升级
- 高可用部署至少需要 3 节点 + Consul/Integrated Storage 后端
- 如果 Vault 成为单点瓶颈，流水线性能会受大影响
组合策略建议：
- 非生产环境（dev/staging）：SOPS 足矣，稳定性 > 安全性
- K8s 生产环境：Sealed Secrets 或 Vault
- 需要动态密钥 + 审计：Vault
- 多集群 / 多云：Vault 或 SOPS + 各云 KMS
五、总结
密钥注入方案的选择不看谁功能多，看谁运维成本低、与你现有基础设施的契合度高。SOPS 最简单但最不动态，Sealed Secrets 是 K8s 原生但锁定了平台，Vault 最强但运维成本不容忽视。关键是建立一条从存储到运行时的、每一步都可审计的信任链——工具只是这条链上的一环。
