giantswarm/external-secrets 运行 External Secrets Operator 控制器，监听 ExternalSecret CR 并从外部 KMS 拉取凭据写入集群 Secret。典型替代 Sealed Secrets 的动态方案，与手工 kubectl create secret 相比可自动轮换。定位为 K8s 集群内 Operator 控制面，需 CRD、RBAC 与云 IAM 凭据；非裸 docker 长期运行场景，应 Helm 安装到 kube-system。

快速启动

docker run -d --name external-secrets \
  -e WATCH_NAMESPACE=default \
  -v ~/.kube/config:/etc/kubeconfig:ro \
  docker.io/giantswarm/external-secrets:latest

推荐实践

docker run -d --name external-secrets \
  --restart unless-stopped \
  -e WATCH_NAMESPACE= \
  -e POD_NAMESPACE=external-secrets \
  -v /etc/kubernetes/admin.conf:/etc/kubeconfig:ro \
  docker.io/giantswarm/external-secrets:v0.9.19

核心参数说明

• -e WATCH_NAMESPACE — 监听的 namespace（空为全集群）
• -v .../admin.conf:... — K8s API 凭据（高敏）
• --restart unless-stopped — Operator 持续 reconcile
• 固定 tag — 与 ExternalSecret CRD 版本 pin
• 安装 — 生产用 Helm chart 与 ClusterSecretStore