如何保护 Kubernetes 集群节点和命名空间中使用的 docker 私有注册表凭据？

Question

尝试查看自docker login my.registry.com创建 config.json 以来是否有任何推荐或更好的方法，并且未加密。 任何登录到从私有注册表推送/拉取图像的节点或跳转框的人都可以轻松查看注册表凭据。 将这些凭据用于 Kubernetes 部署，我相信唯一的选择是将其转换为regcred并将其称为imagePullSecrets文件中的 imagePullSecrets。 秘密可以在命名空间范围内，但仍然存在将数据暴露给可能有权访问该命名空间的其他用户的风险，因为 k8s 秘密只是 base64 编码，而不是真正加密。

是否有任何推荐的工具/插件来保护和/或加密这些凭据而不涉及外部 API 调用？

我听说过 Bitnami 密封的秘密，但还没有探索过，想听听其他人的意见，因为这对于任何开始容器之旅的团队/应用程序来说都是一个非常常见的问题。

Answer 1

对此没有直接的解决方案。 对于 AWS 和 GCP 等某些特定主机，您可以使用它们的原生 IAM 系统。 但是 Kubernetes 没有除此之外的任何规定（SealedSecrets 根本没有帮助）。