Helm 安全性與最佳實踐
🔥 Vibe Prompt
「保護我的 Helm 部署：簽署 Chart、無 Tiller 的 RBAC、加密 Secrets、OCI 註冊表。」
Chart 簽章
# 產生金鑰
gpg --full-generate-key
# 簽署 chart
helm package --sign --key "mykey" ./myapp
# 驗證
helm verify myapp-1.0.0.tgz
# 安裝時驗證
helm install myapp ./myapp-1.0.0.tgz --verify
Secrets 管理
# ❌ 壞示範：明文在 values 中
password: "supersecret"
# ✅ 好示範：外部 secrets 運算子
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
spec:
secretStoreRef:
name: vault-backend
target:
name: app-secrets
data:
- secretKey: db_password
remoteRef:
key: /prod/db/password
Helm 安全檢查清單
| 做法 | 原因 |
|------|------|
| 簽署 Chart | 防止篡改 |
| 使用 OCI 註冊表 | 不可變、版本化 |
| RBAC 限制 Helm | 限制誰可以部署 |
| Secrets 外部管理 | 永遠不在 Git 中 |
| 先乾執行 | helm install --dry-run |
OCI 註冊表
# 推送
helm chart save ./myapp oci://registry.example.com/helm/myapp:1.0.0
helm chart push oci://registry.example.com/helm/myapp:1.0.0
# 拉取並安裝
helm install myapp oci://registry.example.com/helm/myapp:1.0.0
Helm & Kubernetes 課程完成！🎉
- ✅ Chart 結構
- ✅ Go 模板
- ✅ 相依性
- ✅ Hooks
- ✅ 安全性
關鍵要點
- ✅ 請根據本章主題補充具體的學習重點
- ✅ 建議加入比較表格、程式碼範例或流程圖
- ✅ 確保內容扎實且有價值
Helm 安全性的最後一哩路
Helm 雖然讓 Kubernetes 部署變得簡單，但也帶來了安全風險。
最常見的 Helm 安全漏洞
| 漏洞 | 風險 | 預防 |
|:----|:----|:----|
| 未簽署的 Chart | 使用了被竄改的 Chart | 用 helm verify 驗證簽章 |
| 敏感資訊寫死在 Values | 密碼外洩到版本控制 | 使用 helm-secrets 或 External Secrets Operator |
| 過大的 RBAC 權限 | Chart 可以存取不該存取的資源 | 最小權限原則，helm template 預覽產生的 YAML |
| 未更新版本 | 已知漏洞 | 定期執行 helm dependency update |
| OOM 未設定 | Pod 吃掉全部節點資源 | 在 Chart 中設定 resource limits/requests |
實戰檢查清單
部署 Chart 到正式環境前，檢查這幾項：
- [ ] values.yaml 中是否還留有密碼佔位符？
- [ ] 是否設定了
resources.limits和resources.requests？ - [ ] 是否使用
helm lint檢查過語法？ - [ ]
helm template產生的 YAML 是否符合預期？ - [ ] 是否需要設定 PodSecurityPolicy 或 OPA 政策？
- [ ] Image tag 是否鎖定版本（非
latest）？
課程總結
這堂 Helm 課你從 Chart 結構、Go Template、Dependency、Hooks 到安全性，已經涵蓋了 Helm 的所有核心概念。現在你已經可以：
- 建立可重複使用的 Chart
- 用 Go Template 實現環境差異化
- 管理多個 Chart 的依賴關係
- 在部署生命週期中執行 Hook 任務
- 保護你的 Chart 不被惡意濫用
接下來可以探索 Helm Plugin 生態系（如 helm-secrets、helm-diff）或進階的 KubeApps 工具。