用途：为 Kubernetes 应用实现生产级密钥管理，覆盖敏感配置存储、GitOps 提交、云密钥管理器集成、凭据与证书轮换、跨命名空间最小权限访问，以及从明文 Secret 迁移。
主要能力：启用 etcd 静态加密（本地 aescbc 或云 KMS，如 EKS、GKE、AKS）；部署 Bitnami Sealed Secrets 控制器与 kubeseal，将 Secret 加密为可提交 Git 的 SealedSecret；用 Helm 安装 External Secrets Operator，通过 SecretStore/ExternalSecret 从 AWS Secrets Manager、Azure Key Vault、GCP Secret Manager 同步；用 cert-manager 自动签发与续期 TLS 证书；用 Reloader 在 Secret 变更时滚动重启 Pod；用 RBAC 的 resourceNames 限制访问。
使用方式：按步骤执行，先配置加密，再安装控制器与 CLI，创建 Secret 后用 kubeseal 加密，或用 ExternalSecret 拉取云端密钥；轮换可结合 CronJob 与 Reloader；RBAC 用 kubectl auth can-i 验证。
适用场景：GitOps 仓库需提交密钥、多云密钥统一管理、证书自动化、凭据轮换不停机。
限制：需集群管理员权限；SealedSecrets 默认按命名空间作用域，私钥丢失则无法解密，须备份 sealed-secrets-key；External Secrets 默认刷新间隔 1 小时；应用需支持重载或重试；具体云权限与配置以实际环境为准。