sorb/axion1337.chat-gitops
1
0
Fork 0
Code Issues Pull Requests Packages Projects 1 Releases 24 Wiki Activity

[LOW] External-Secrets Operator vs. current SOPS setup #20

New Issue
Closed
opened 2026-07-28 14:31:49 +00:00 by sorb · 2 comments
sorb commented 2026-07-28 14:31:49 +00:00
Owner
Copy Link
Copy Source

Current SOPS+age encryption is working fine. Consider whether External-Secrets Operator (cloud-native secret sourcing, e.g. from a proper secrets manager) is worth the migration effort, or whether to just keep/improve the current SOPS rotation strategy.

Current SOPS+age encryption is working fine. Consider whether External-Secrets Operator (cloud-native secret sourcing, e.g. from a proper secrets manager) is worth the migration effort, or whether to just keep/improve the current SOPS rotation strategy.
sorb added the area:securitypriority:low labels 2026-07-28 14:31:49 +00:00
sorb commented 2026-07-28 14:41:09 +00:00
Author
Owner
Copy Link
Copy Source

Ergänzung (2026-07-28): Der age-Private-Key selbst hat aktuell kein separates Backup — er existiert nur im sops-age-Secret im Cluster (gleicher Server) und lokal bei wem auch immer ihn zuletzt via docs/install.md (Recovery-Abschnitt) zurückgeholt hat. Fällt der Server komplett aus, sind alle SOPS-verschlüsselten Secrets im Repo unlesbar — unabhängig davon, ob wir bei SOPS bleiben oder zu External-Secrets wechseln, sollte die Entscheidung hier auch beinhalten: wo lagert der Key (oder das Master-Secret bei External-Secrets) sicher UND offsite (Passwort-Manager, verschlüsseltes Backup, etc.).

Ergänzung (2026-07-28): Der age-Private-Key selbst hat aktuell **kein separates Backup** — er existiert nur im `sops-age`-Secret im Cluster (gleicher Server) und lokal bei wem auch immer ihn zuletzt via `docs/install.md` (Recovery-Abschnitt) zurückgeholt hat. Fällt der Server komplett aus, sind alle SOPS-verschlüsselten Secrets im Repo unlesbar — unabhängig davon, ob wir bei SOPS bleiben oder zu External-Secrets wechseln, sollte die Entscheidung hier auch beinhalten: wo lagert der Key (oder das Master-Secret bei External-Secrets) sicher UND offsite (Passwort-Manager, verschlüsseltes Backup, etc.).
sorb commented 2026-08-01 14:26:02 +00:00
Author
Owner
Copy Link
Copy Source

Migriert nach git.lab: axion1337.chat/axion1337.chat-gitops#20 (nur im Lab bzw. via VPN erreichbar — das Lab ist seit 2026-08-01 die Quelle der Wahrheit, siehe gitops#48). Weiterarbeit dort; dieses Gitea-Issue bleibt als Verweis stehen.

**Migriert nach git.lab**: [axion1337.chat/axion1337.chat-gitops#20](https://git.lab/axion1337.chat/axion1337.chat-gitops/-/issues/20) (nur im Lab bzw. via VPN erreichbar — das Lab ist seit 2026-08-01 die Quelle der Wahrheit, siehe gitops#48). Weiterarbeit dort; dieses Gitea-Issue bleibt als Verweis stehen.
sorb closed this issue 2026-08-01 14:26:02 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
area:authentik
Authentik Identity Provider
 area:database
Database and backups
 area:element
Element and UI
 area:infrastructure
K3S and infrastructure
 area:security
Security hardening
 priority:critical
Critical - This week
 priority:high
High - 1-2 weeks
 priority:low
Low - nice to have
 priority:medium
Medium - ~1 month
No labels area:security priority:low
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
sorb (ScrublordMcBad)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: sorb/axion1337.chat-gitops#20