📚 课程目录第4章 SOPS简介

4. SOPS 简介：云原生密钥管理的核心工具

在生产窗口的回滚验证中，敏感配置（如镜像仓库凭证、数据库密码、TLS 私钥）的安全存储与快速解密是决定回滚速度的关键因素。SOPS（Secrets OPerationS） 是 Mozilla 开源的一款加密/解密工具，专为云原生场景设计，支持将加密后的敏感数据直接存储在 Git 仓库中，实现“加密即代码”。

4.1 什么是 SOPS

SOPS 是一个命令行工具，能够对 YAML、JSON、ENV、INI 等格式的文件进行字段级加密。与传统的全文件加密不同，SOPS 只加密文件中的 值（value），保留键（key）和结构明文，从而让运维人员可以清晰地看到配置的上下文，而无需解密整个文件。

特性	说明
字段级加密	仅加密敏感字段的值，保留文件结构和键名明文
多密钥后端	支持 AWS KMS、GCP KMS、Azure Key Vault、Age、PGP
格式感知	原生支持 YAML、JSON、ENV、INI、BINARY 格式
Git 友好	加密文件可直接提交到 Git，diff 时仅显示加密 blob 变化
回滚兼容	解密时无需联网（仅需本地私钥），适合离线回滚场景

生产回滚场景价值： SOPS 加密后的文件可以像普通代码一样进行版本管理。当需要回滚到某个历史版本时，只需 git checkout 对应的加密文件，再用 SOPS 解密即可，无需重新向密钥管理服务发起请求，大幅缩短回滚窗口。

4.2 SOPS 与 Helm / Kustomize 的集成方式

在云原生配置管理中，SOPS 通常与 Helm 或 Kustomize 配合使用，实现“加密存储、运行时解密”的流水线。

4.2.1 SOPS + Helm 集成

Helm 通过 Helm Secrets 插件或 helm-secrets 包装器与 SOPS 集成。加密后的 values 文件（如 secrets.yaml）在 Helm 渲染时自动解密。

# 安装 helm-secrets 插件
helm plugin install https://github.com/jkroepke/helm-secrets

# 加密 values 文件
sops --encrypt values.yaml > values.enc.yaml

# 使用加密文件部署
helm secrets upgrade my-release ./chart -f values.enc.yaml

组件	作用
`values.enc.yaml`	加密后的 Helm values 文件，存储在 Git 中
`helm-secrets`	在 Helm 渲染前调用 SOPS 解密，将明文传递给 Helm
解密时机	CI/CD 流水线或本地部署时，仅在内存中解密，不落盘

4.2.2 SOPS + Kustomize 集成

Kustomize 通过 kustomize-sops 插件或 sops-operator 实现集成。加密后的 Secret/ConfigMap 资源文件在 kustomize build 时自动解密。

# kustomization.yaml 示例
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

generators:
  - secret-generator.yaml

# secret-generator.yaml 使用 SOPS 加密的 YAML 作为输入
apiVersion: viaduct.ai/v1
kind: ksops
metadata:
  name: secret-generator
files:
  - secrets.enc.yaml

  集成对比：
  Helm 场景： 适合需要模板化渲染的复杂应用，加密文件作为 values 输入。
Kustomize 场景： 适合原生 Kubernetes 资源管理，加密文件直接作为 Secret 数据源。
回滚一致性： 两种方式都保证加密文件与 Git 版本绑定，回滚时解密结果与当时一致。

4.3 SOPS 的加密/解密工作流

SOPS 的工作流围绕“密钥后端”和“数据密钥”展开。下图展示了从加密到解密的完整流程。

4.4 加密/解密核心步骤详解

4.4.1 加密步骤

生成数据密钥： SOPS 为每个文件生成一个唯一的 256 位数据密钥（Data Encryption Key）。
字段级加密： 使用数据密钥对文件中的每个敏感字段值进行 AES-256-GCM 加密。
加密数据密钥： 使用配置的密钥后端（如 AWS KMS）对数据密钥本身进行加密，并将加密后的数据密钥存储在文件头部。
输出加密文件： 生成 .enc.yaml 文件，包含加密后的字段值和加密后的数据密钥。

4.4.2 解密步骤

读取加密文件： SOPS 解析文件头部，提取加密后的数据密钥。
解密数据密钥： 调用密钥后端（如本地 Age 私钥或 AWS KMS API）解密数据密钥。
字段级解密： 使用解密后的数据密钥对每个加密字段进行 AES-256-GCM 解密。
输出明文： 将解密后的明文输出到 stdout 或指定文件（仅内存中处理，不写磁盘）。

回滚验证关键点：

SOPS 加密文件是自包含的：加密后的数据密钥存储在文件头部，解密时只需本地私钥或 KMS 权限。
回滚到旧版本时，git checkout 获取的是当时加密的文件，解密后得到的是当时准确的明文，保证配置一致性。
如果密钥后端（如 KMS）在回滚窗口不可用，使用 Age 或 PGP 本地密钥可以完全离线解密，适合生产窗口的快速回滚。

4.5 加密文件结构示例

以下是一个加密后的 YAML 文件结构，展示了 SOPS 如何组织加密数据：

# secrets.enc.yaml
apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
data:
  password: ENC[AES256_GCM,data:abc123...,iv:...,tag:...]
  : ENC[AES256_GCM,data:xyz789...,iv:...,tag:...]
sops:
  kms:                      # 密钥后端信息
    - arn: arn:aws:kms:...
      created_at: ...
      enc: ...              # 加密后的数据密钥
  age:                      # 备用密钥后端
    - recipient: age1...
      enc: ...
  lastmodified: '2025-01-15T10:30:00Z'
  mac: ...                  # 完整性校验值

  字段说明：
  ENC[...] 标记：表示该字段已被加密，包含加密算法、密文、初始化向量和认证标签。
sops.kms / sops.age：存储加密后的数据密钥，支持多个密钥后端冗余。
sops.mac：对整个文件进行 HMAC 校验，防止篡改。
回滚时，只需确保 sops 块中的密钥信息完整，即可解密任意历史版本。