ADR-009: secretos con AWS Secrets Manager y Secrets Store CSI Driver

Aceptado el 10/11/2026 por Andrés.

Contexto

Se quiere un gestor de secretos, acceso desde los pods por una vía nativa de Kubernetes y agnóstica de nube, y rotación sin redesplegar.

Decisión

AWS Secrets Manager como fuente. Los pods reciben los secretos como archivos montados por el Secrets Store CSI Driver. Para servicios de AWS, EKS Pod Identity en lugar de credenciales.

Alternativa documentada

Vault de HashiCorp con el mismo driver: cambia el SecretProviderClass, no el servicio. Se descarta para el demo porque operar Vault bien (alta disponibilidad, desellado, respaldo) es un proyecto aparte.

Qué se sacrifica

• El manifiesto nombra al proveedor: lo agnóstico es el contrato del servicio, no el despliegue.
• La rotación toma efecto en el siguiente sondeo del driver, no al instante, y solo si el servicio relee el archivo.