用途：Infisical Kubernetes Operator 是一组控制器，用于让 Kubernetes 的 Secret 和 ConfigMap 与 Infisical 保持同步，也支持反向推送密钥，并在集群内管理动态密钥租约。
API 版本：支持两套 CRD。secrets.infisical.com/v1beta1 为当前版本，适用于所有新安装；secrets.infisical.com/v1alpha1 为旧版、即将弃用，仅用于已有安装。两者对象模型不同：v1alpha1 是单体式，一个 InfisicalSecret 同时承载实例地址、认证、来源与目标；v1beta1 拆分为 InfisicalConnection（指向 Infisical 实例）、InfisicalAuth（认证方式，引用连接）和 InfisicalStaticSecret（同步静态密钥到 Secret/ConfigMap）。InfisicalDynamicSecret 与 InfisicalPushSecret 目前仍记录为 v1alpha1，不要假定所有 CRD 都有 v1beta1 形式。
主要能力：同步静态密钥到 Secret 和 ConfigMap；从 Kubernetes 推送密钥到 Infisical；在集群内管理动态密钥租约；支持来源与目标定义、creationPolicy、refreshInterval、自动重载与模板化。
使用方式：先确认使用 v1beta1 还是 v1alpha1，再安装 Operator（集群级或命名空间级），选择认证方式（优先 method: kubernetes，回退 universal），定义来源与目标，设置 refreshInterval 与 creationPolicy，配置重载，必要时添加模板。命名空间级安装时只有首次安装 CRD，后续安装需设 installCRDs: false。
限制与注意：同步后的 Secret 不会自动重启工作负载，需为依赖的 Deployment 添加 secrets.infisical.com/auto-reload: "true" 注解。creationPolicy 决定归属，Owner 将受管 Secret 生命周期绑定到 CRD，Orphan 在删除时保留。切勿把客户端密钥写入清单，凭据应放在 CRD 引用的 Kubernetes Secret 中。若用户已使用 External Secrets Operator，可考虑其 Infisical provider。本技能不适用于将密钥渲染为 Pod 内文件（用 infisical-agent）、包装进程的 CLI（infisical-setup）、通用 Kubernetes Auth 设置、etcd 加密、自托管 Infisical 或推送到非 Kubernetes 第三方。安装 Operator 不等于自托管 Infisical，两者共用同一 Helm 仓库易混淆。具体支持的 Kubernetes 版本、7 种认证方法细节及完整字段说明暂未提供。