Flux des secrets EKS : ce qui survit au teardown

Flux des secrets EKS : ce qui survit au teardown An architecture diagram generated by Archify. Youssef · création ou rotation · Architecture component Youssef création ou rotation Secrets Manager · fastapi-eks/app · State persistent : survit au teardown · la valeur Secrets Manager fastapi-eks/app la valeur Rôle IAM IRSA · lié à l'OIDC du cluster · State ephemeral : détruit chaque soir, recréé au build · least privilege Rôle IAM IRSA lié à l'OIDC du cluster least privilege External Secrets · ESO + ServiceAccount · State ephemeral : détruit chaque soir, recréé au build › Cluster EKS External Secrets ESO + ServiceAccount Secret Kubernetes · recréé par ESO · State ephemeral : détruit chaque soir, recréé au build › Cluster EKS Secret Kubernetes recréé par ESO Pod FastAPI · env ou volume · State ephemeral : détruit chaque soir, recréé au build › Cluster EKS Pod FastAPI env ou volume Git + ArgoCD · ExternalSecret : la clé · Architecture component · jamais la valeur Git + ArgoCD ExternalSecret : la clé jamais la valeur injectée 1 fois GetSecretValue autorise, sans clé AWS crée, resync monte quelle clé lire State persistent : survit au teardown State ephemeral : détruit chaque soir, recréé au build Cluster EKS Legend Backend Database Security External

Survit au teardown

  • • La valeur dans Secrets Manager (state persistent)
  • • Jamais ressaisie au rebuild, seulement à la création ou à une rotation

Recréé à chaque build

  • • Rôle IRSA : chaque cluster a une nouvelle adresse OIDC
  • • Secret Kubernetes : ESO le refabrique tout seul

Pièges vécus

  • • Appliquer persistent AVANT ephemeral, sinon couldn't find resource
  • • Terraform ne fabrique plus les valeurs (ADR 033) : son state les garderait en clair