Sealed Secrets
用集群公钥加密后再提交进 Git，只有集群里的控制器能解开。零外部依赖。
控制器在集群里持有一对密钥；`kubeseal` 用公钥把明文 Secret 加密成 SealedSecret 自定义资源，这个资源可以安心提交进公开仓库，控制器看到它就解密成真正的 Secret。不需要 Vault、不需要云 KMS、不需要网络出口 —— 整条链只有一个控制器，这是它相对 ESO 最大的优势。
上游活跃度
2026-08-23 抓取 · 数据来自 bitnami-labs/sealed-secrets (github)star9,256
最近提交2026-08-20
最新版本v0.39.12026-08-20
数字由构建期抓取，非实时；star 数不同代码托管平台之间不可直接比较。
上手前注意
- **私钥就是全部**：控制器的加密私钥丢了，仓库里所有 SealedSecret 都变成废字节。它必须单独备份，且不能只备在同一个集群里
- 密文与集群绑定：换集群/重装控制器要么恢复旧私钥，要么把所有密钥重新 seal 一遍
- 只覆盖静态密钥 —— 没有动态凭据、没有租约与自动吊销，那些是 Vault/OpenBao 的领域