시크릿 (Secret)

시크릿(Secret)은 비밀번호나 API 키처럼 접근을 제한해 보관하고 필요한 프로그램에 전달하는 민감한 값입니다. 시크릿이라는 이름만으로 암호화가 보장되지는 않습니다. 일반 설정과 분리해 관리하되, 저장 방식과 읽기 권한, 실행 중 전달 경로를 함께 봅니다. 특정 플랫폼의 Secret 객체와 보안이 필요한 값이라는 일반 개념도 구분합니다.

코드와 분리해 전달하는 값

Kubernetes의 Secret 문서는 비밀번호, 토큰, 키 같은 민감한 데이터를 담는 객체를 설명합니다. 애플리케이션 코드나 컨테이너 이미지에 값을 직접 넣는 대신 별도로 저장해 전달합니다. 같은 이미지를 개발 환경과 운영 환경에서 사용하면서 서로 다른 자격 증명을 지정하는 구성이 가능합니다. 이미지의 내용과 접근 권한을 가진 실행 환경의 값을 분리하는 방식입니다.

시크릿은 이름과 실제 값이 구분됩니다. 설정 파일에는 참조할 이름만 적고 실행 환경이 그 이름에 해당하는 값을 공급할 수 있습니다. 다만 이름을 참조하도록 바꿨다고 값이 전혀 노출되지 않는 것은 아닙니다. 프로그램이 받은 값을 로그나 오류 메시지에 출력하면 다른 경로에 사본이 남습니다. 저장 위치만 살피는 대신 값이 어디에서 읽히고 어디로 전달되는지도 확인합니다.

일반 환경변수에도 비밀값을 넣을 수 있지만, 환경변수라는 전달 형식과 시크릿 관리 기능은 서로 다른 개념입니다. 파일, 환경변수, 외부 저장소 응답 등 어느 방식으로 전달하든 소비하는 프로그램은 필요한 순간에 값을 읽습니다. 개발자가 화면에서 설정을 숨긴 상태와 실행 주체의 접근이 제한된 상태도 별개입니다. 실제 접근 범위는 플랫폼의 권한과 실행 구조로 결정됩니다.

인코딩과 암호화의 차이

Kubernetes의 Secret 문서는 data 필드의 값에 Base64 인코딩을 사용하고, stringData에는 문자열을 전달할 수 있다고 설명합니다. Base64는 데이터를 문자열로 표현하는 방식이며 비밀을 보호하는 암호화와 다릅니다. 읽을 수 있는 사람이 원래 값으로 되돌릴 수 있으므로, 인코딩된 값이라는 이유만으로 저장소에 공개해도 되는 자료가 되지는 않습니다.

2026년 10월 11일 확인한 같은 문서는 기본 구성에서 Secret이 내부 저장소인 etcd에 암호화되지 않은 상태로 저장된다고 경고합니다. 저장 시 암호화와 최소 권한 설정은 별도로 다룹니다. 클러스터에서 Secret 객체를 사용한다는 사실과 실제 저장소가 암호화되어 있다는 사실을 같은 것으로 기록하면 운영 상태를 잘못 설명하게 됩니다. 플랫폼별 기본값과 적용한 설정을 나누어 확인합니다.

암호화되어 저장된 값도 권한 있는 프로그램이 사용하려면 읽을 수 있어야 합니다. 실행 권한을 넓게 주면 해당 권한을 이용해 값에 접근하는 경로가 생길 수 있습니다. 민감한 작업에는 필요한 범위의 값만 전달하고, 일반 로그에는 값 대신 어떤 참조를 사용했는지 남기는 구성이 적합합니다. 오류를 재현할 때도 실제 키를 복사하지 않고 발급 권한과 전달 경로부터 대조합니다.

실행 조건과 교체 시점

GitHub Actions의 시크릿 사용 안내는 저장소·환경·조직 범위의 시크릿을 워크플로에서 사용하는 방법을 설명합니다. 포크에서 시작한 워크플로에는 GITHUB_TOKEN을 제외한 시크릿이 전달되지 않는다는 조건도 있습니다. 같은 정의 파일을 실행해도 이벤트와 권한 범위에 따라 사용할 값이 달라집니다.

시크릿이 비어 있다는 오류는 값 자체가 틀린 경우와 전달되지 않은 경우를 나눠 볼 수 있습니다. 참조 이름의 오타, 선택한 실행 환경, 이벤트의 전달 제한이 각각 원인 후보입니다. 실제 값 전체를 로그에 출력하지 않고 존재 여부와 설정 경로를 확인해도 원인 범위를 좁힐 수 있습니다. 자동 마스킹에만 의존하면 변형된 값이나 다른 출력 경로를 놓치기 쉽습니다.

값을 교체할 때는 새 값을 저장한 시점과 프로그램이 새 값을 읽은 시점이 다를 수 있습니다. 오래 실행 중인 프로세스가 이전 값을 유지하는지, 다음 요청에서 다시 읽는지는 전달 방식에 달려 있습니다. 노출된 자격 증명은 코드에서 문자열을 지우는 작업과 발급처에서 사용을 중지하는 작업이 구분됩니다. 교체 결과는 새 값의 성공 여부와 이전 값의 처리 상태를 함께 확인합니다.