External Secrets Operator とは？

K8sでアプリを動かすとき、DBのパスワードとかAPIキーをSecretリソースとして扱うんだけど、そのSecretを外部の専用サービスから自動で持ってくるツールだよ。

AWS Secrets ManagerやGCP Secret Manager、HashiCorp Vaultなどが代表例だよ。こういったサービスに秘密情報を集中管理して、ESO（External Secrets Operator）がK8sのSecretに同期してくれるんだ。

外部サービス側でパスワードを更新したら、ESPがその変化を検知して自動的にK8sのSecretも書き換えてくれるんだよ。更新間隔はリソース定義で設定できるんだ。

SecretStoreという「どの外部サービスに繋ぐか」を定義するCRDと、ExternalSecretという「どのキーをどのSecretに入れるか」を定義するCRDの2種類を書くだけだよ。

K8sのSecretはデフォルトでBase64エンコードされているだけで暗号化されていないんだよ。GitにSecretのマニフェストをコミットしたら丸見えになるリスクがある。専用サービスに置けばアクセス制御・監査・自動ローテーションといった高度な機能が使えるんだ。

その通りだよ。ArgoCDやFluxなどのGitOpsツールと組み合わせると、コードはGitで管理しつつ秘密情報だけ外部サービスで安全に扱えるベストプラクティスになるんだ。