Criptografia SOPS

Criptografe segredos em arquivos de configuração mantendo a estrutura visível.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Criptografar segredos no Git
• Implementar GitOps com segredos
• Gerenciar segredos do Kubernetes como código
• Criptografar arquivos de configuração

Pré-requisitos

• SOPS instalado
• Acesso ao KMS (AWS, GCP, Azure) ou chave PGP

Instalação

# macOS
brew install sops

# Linux
wget https://github.com/getsops/sops/releases/download/v3.8.0/sops-v3.8.0.linux.amd64
chmod +x sops-v3.8.0.linux.amd64
mv sops-v3.8.0.linux.amd64 /usr/local/bin/sops

Uso Básico

# Encrypt with AWS KMS
sops --encrypt --kms arn:aws:kms:region:account:key/key-id secrets.yaml > secrets.enc.yaml

# Decrypt
sops --decrypt secrets.enc.yaml

# Edit encrypted file
sops secrets.enc.yaml

# Encrypt in place
sops --encrypt --in-place secrets.yaml

Configuração

# .sops.yaml
creation_rules:
  - path_regex: .*\.prod\.yaml$
    kms: arn:aws:kms:us-east-1:account:key/prod-key
  - path_regex: .*\.dev\.yaml$
    kms: arn:aws:kms:us-east-1:account:key/dev-key
  - path_regex: .*
    pgp: fingerprint

Integração com Kubernetes

# encrypted secret
apiVersion: v1
kind: Secret
metadata:
  name: myapp-secrets
type: Opaque
stringData:
  password: ENC[AES256_GCM,data:encrypted...]
sops:
  kms:
    - arn: arn:aws:kms:region:account:key/key-id

# With ArgoCD
# Install ksops plugin for ArgoCD to decrypt secrets

Melhores Práticas

• Armazene o arquivo .sops.yaml no repositório
• Use chaves diferentes por ambiente
• Rotacione as chaves de criptografia regularmente
• Nunca envie segredos não criptografados para o repositório
• Use aliases de chaves para legibilidade

Habilidades Relacionadas

• hashicorp-vault (hashicorp-vault) - Segredos centralizados
• argocd-gitops (argocd-gitops) - Integração GitOps

Limitações

• Aplique as orientações apenas dentro do escopo autorizado; teste etapas destrutivas em ambiente de não produção primeiro.
• Importação apenas de documentação: scripts e templates de origem não estão incluídos.

Exemplo

# Read-only first: inventory before any active step.
which <tool> && <tool> --help | head -n 20

Adaptado de BagelHole/DevOps-Security-Agent-Skills (MIT); frontmatter, Quando Usar/Limitações, e limites de segurança adicionados para conformidade com o upstream. Importação apenas de documentação: scripts e templates auxiliares não estão incluídos.