Ты интегрировал HashiCorp Vault с Kubernetes и перешёл на External Secrets Operator. Почему Sidecar Injector не подошёл, как ты структурировал Vault Policies для более чем 50 сервисов и как организовал ротацию учётных данных PostgreSQL?

Сравните модели доставки секретов, а не объявляйте Injector плохим. ESO синхронизирует секреты в Kubernetes, Injector доставляет их через Vault Agent; выбор зависит от приложения и требований безопасности.

Опишите свой реальный контекст. Policies ограничивают по сервису и окружению, привязывая роль к нужным ServiceAccount и namespace, без общего широкого токена. При ESO секрет появляется в Kubernetes Secret: нужны RBAC и защита хранения. KV-provider не заменяет динамический database engine; для временных учётных данных используют соответствующий механизм, например Vault Dynamic Secret generator. План ротации должен учитывать TTL, обновление приложения и пула соединений, перекрытие и отзыв старых данных. Изменение Secret не обновляет уже запущенный процесс, читающий credentials из environment.

Источник: external-secrets.io, external-secrets.io, developer.hashicorp.com.