Проект Artifact Keeper представил плагин для Kubernetes, позволяющий загружать приватные образы без использования статических паролей. Инструмент написан на языке Rust и предназначен для замены практики хранения секретов в каждом пространстве имен, что снижает риски утечек и упрощает ротацию учетных данных.
Решение опирается на возможности Kubernetes 1.34+, где kubelet передает токен ServiceAccount пода внешнему провайдеру. Провайдер обменивает этот токен на короткоживущие учетные данные с правами только на чтение. Такой подход соответствует принципам zero trust, исключая хранение долгоживущих секретов в манифестах.
Плагин представляет собой статический бинарный файл размером 1,7 МБ. В ходе тестов на kind-кластере 100 последовательных вызовов заняли 1,9 секунды, а 200 параллельных запросов — 1,1 секунды. Предусмотрена система кеширования, срок действия которой рассчитывается исходя из времени жизни токена.
Для работы плагина требуется настройка прав доступа для узлов через ClusterRole, разрешающая запрос токенов с определенным audience. В облачных средах, таких как EKS, GKE и AKS, установка требует использования привилегированных DaemonSet или модификации конфигурации kubelet через скрипты, так как вендоры не предоставляют штатного API для таких задач.
На текущий момент исходный код плагина доступен в личном репозитории автора. В планах проекта — перенос разработки в официальную организацию Artifact Keeper, выпуск первого релиза и добавление поддержки настройки провайдера через веб-интерфейс. Автор собирает отчеты о тестировании решения в реальных облачных инфраструктурах.
