📚 课程目录第2章 SOPS基础

2. SOPS 基础：简介、核心功能与密钥后端

SOPS（Secrets OPerationS）是 Mozilla 开源的一款加密文件编辑器，专为云原生环境下的密钥管理而设计。它允许团队以标准格式（YAML、JSON、ENV、INI、BINARY）存储加密后的配置文件，并在需要时通过受支持的密钥后端解密。SOPS 的核心价值在于：将密钥管理从应用代码中剥离，纳入 GitOps 工作流，同时保持文件的可读性与可审计性。

2.1 SOPS 简介

SOPS 并非一个通用的加密库，而是一个面向配置文件的加密编排工具。它不定义自己的加密算法，而是委托给底层的密钥后端（如 AWS KMS、GCP KMS、Azure Key Vault 或 PGP）来管理主密钥，并使用 AES-256-CTR 或 AES-256-GCM 对文件内容进行对称加密。每个加密文件头部会记录所使用的密钥后端、数据密钥（被主密钥加密后的密文）以及加密上下文，从而实现声明式密钥管理。

  关键设计原则： 文件即声明。加密后的文件仍然是有效的 YAML/JSON，可以被版本控制系统正常 diff，但敏感字段已被替换为不可读的密文。解密操作只在需要运行时（如 CI/CD 管道或本地开发）发生。

2.2 核心功能：加密 / 解密 / 编辑

SOPS 提供三个核心操作，覆盖密钥的完整生命周期：

操作	命令	行为描述	典型场景
加密	`sops --encrypt`	读取明文文件，使用数据密钥加密每个字段，输出加密后的文件。数据密钥本身被主密钥（KMS/PGP）加密后存入文件头部。	将明文密钥文件加密后提交到 Git 仓库。
解密	`sops --decrypt`	读取加密文件，从头部提取加密后的数据密钥，调用密钥后端解密数据密钥，再用数据密钥解密文件内容，输出明文。	CI/CD 管道在部署前解密密钥文件。
编辑	`sops <file>`	自动解密文件到临时目录，调用系统编辑器（如 vim、code）打开明文，保存时自动重新加密并替换原文件。编辑过程中文件始终处于加密状态。	开发人员安全地修改生产密钥。

最佳实践： 使用 sops <file> 编辑而非手动 decrypt → edit → encrypt，可以避免明文文件意外残留到磁盘或版本控制中。

2.3 支持的密钥后端

SOPS 通过插件式架构支持多种密钥后端。选择哪个后端取决于你的云基础设施和密钥管理策略。下表对比了四种主流后端：

后端	主密钥类型	身份认证方式	优势	局限
AWS KMS	CMK（Customer Master Key）	AWS IAM 角色/用户 + 策略	与 AWS 生态深度集成；支持自动密钥轮换；细粒度访问控制	依赖 AWS 服务；跨账号需要额外配置
GCP KMS	CryptoKey	GCP 服务账号 + IAM	与 GCP 生态集成；支持全球密钥位置；与 Cloud KMS 自动轮换	依赖 GCP 服务；密钥层次结构较复杂
Azure Key Vault	Key Vault Key	Azure AD 应用/托管标识 + 访问策略	与 Azure 生态集成；支持 HSM 保护；软删除和清除保护	依赖 Azure 服务；API 调用有速率限制
PGP	PGP 公钥/私钥对	本地 GPG 密钥环	无需云服务商；完全离线可用；适合小团队或开发环境	密钥轮换需要手动操作；不适合大规模自动化

2.4 SOPS 加密文件结构

理解 SOPS 加密文件的内部结构，有助于调试密钥轮换和审计问题。以下是一个典型的加密 YAML 文件头部示例：

# 加密后的 secrets.yaml
sops:
  kms:                      # 密钥后端列表
    - arn: arn:aws:kms:us-east-1:123456789012:key/abc123
      created_at: "2024-01-15T10:30:00Z"
      enc: AQICAHg...encrypted_data_key...==
      aws_profile: ""
  gcp_kms: []
  azure_kv: []
  pgp:
    - fp: 1234567890ABCDEF1234567890ABCDEF12345678
      created_at: "2024-01-15T10:30:00Z"
      enc: |
        -----BEGIN PGP MESSAGE-----
        wcFMA...
        -----END PGP MESSAGE-----
  lastmodified: "2024-01-15T10:30:00Z"
  mac: ENC[AES256_GCM,data:mac_value...,iv:...,tag:...]
  version: 3.8.1
database_password: ENC[AES256_GCM,data:encrypted_value...,iv:...,tag:...]
: ENC[AES256_GCM,data:encrypted_value...,iv:...,tag:...]

审计要点： 文件头部的 mac 字段用于完整性校验。如果密钥轮换后 mac 未更新，解密时会失败。在 OPA 审计策略中，应检查 lastmodified 时间戳是否在密钥轮换周期内。

2.5 密钥后端工作流示意图

下图展示了 SOPS 与 AWS KMS 后端交互的完整加密/解密流程：

2.6 多后端协同场景

SOPS 允许在同一个文件中指定多个密钥后端。这在多云部署或团队跨平台协作时非常有用。例如，一个文件可以同时被 AWS KMS 和 PGP 密钥加密，使得不同角色的成员使用各自信任的后端解密同一份文件。

2.7 选择密钥后端的决策因素

基础设施绑定： 如果团队已深度使用 AWS/GCP/Azure，优先选择对应的云 KMS，以减少额外的身份管理开销。
离线/开发环境： PGP 适合本地开发、离线环境或小团队原型验证，但需要建立密钥分发和轮换的纪律。
合规与审计： 云 KMS 通常提供内置的密钥轮换、访问日志和 HSM 选项，满足 SOC2、PCI-DSS 等合规要求。
密钥轮换自动化： AWS KMS 和 GCP KMS 支持自动轮换主密钥（每年一次），而 PGP 需要手动轮换并重新加密所有文件。

推荐策略： 生产环境使用云 KMS（如 AWS KMS）作为主后端，同时为每个开发者添加一个 PGP 密钥作为备用解密方式。这样既保证了自动化轮换能力，又提供了本地调试的灵活性。