密钥交付3 条
External Secrets Operator
把外部密钥后端同步成 K8s Secret：Git 里只留「去哪取」，不留密文。
Sealed Secrets
用集群公钥加密后再提交进 Git，只有集群里的控制器能解开。零外部依赖。
SOPS
只加密 YAML/JSON 的值、保留结构与注释，密钥交给 age 或 KMS。CNCF 项目。
把外部密钥后端同步成 K8s Secret：Git 里只留「去哪取」，不留密文。
用集群公钥加密后再提交进 Git，只有集群里的控制器能解开。零外部依赖。
只加密 YAML/JSON 的值、保留结构与注释，密钥交给 age 或 KMS。CNCF 项目。