sops 配置模板与运行时渲染

# ============================================================
# .sops.yaml — sops 客户端加密规则模板
# ============================================================

# keys: 变量区（可选）——给公钥起别名，后面用 *别名 引用
# 好处：定义一次、多处引用；改 key 只改这里
keys:
  - &server-key AGE_RECIPIENT_PLACEHOLDER_NOT_VALID   # SSH host key 的 age 公钥
  - &backup AGE_RECIPIENT_PLACEHOLDER_NOT_VALID           # 备用公钥（示例）

creation_rules:
  # ================= 单规则 =================
  # 一条规则 = 「匹配某类文件 → 用这些 key 加密」
  # 规则从上到下，第一条匹配生效
  - path_regex: host/secrets/secrets\.yaml$
    # path_regex: Go 风格正则，匹配相对 .sops.yaml 所在目录的路径
    #   \. = 转义点号（正则的 . 匹配任意字符，必须转义）
    #   $  = 锚定结尾，防止误匹配 secrets.yaml.bak
    key_groups:
      # key_groups: 密钥组列表（高级用）。每个组内可以不同 key，shamir_threshold 控制阈值
      - age:
          - *server-key
        # age: 用 age 公钥加密（数组写法，可以每把 key 一行 + 注释）
        # pgp: 也能混用 PGP 指纹
        # kms: 也能混用 AWS KMS ARN

  # ================= 多接收者（平铺写法） =================
  - path_regex: host/secrets/team\.yaml$
    age: "AGE_RECIPIENT_PLACEHOLDER_NOT_VALID,AGE_RECIPIENT_PLACEHOLDER_NOT_VALID"
    # age: 逗号分隔的字符串写法。任何一把对应私钥都能解。
    # 逗号分隔字符串可以在字符串外加 YAML 注释；需要逐个接收者注释时用 key_groups 数组

  # ================= 不同文件用不同 key =================
  - path_regex: clusters/dev/.*secrets.*\.yaml$
    encrypted_regex: ^(data|stringData)$
    # encrypted_regex: 只加密匹配该正则的 key（K8s Secret 场景，metadata 保持明文）
    age: "AGE_RECIPIENT_PLACEHOLDER_NOT_VALID"

  # ================= 阈值解密（Shamir 门限） =================
  - shamir_threshold: 2
    # shamir_threshold: 需要几个 key_groups 满足才能解密（Shamir 秘密分享）
    path_regex: \.risc\.yaml$
    key_groups:
      - age:
          - "AGE_RECIPIENT_PLACEHOLDER_NOT_VALID"
      - gcp_kms:
          - resource_id: projects/EXAMPLE_PROJECT/locations/global/keyRings/EXAMPLE_RING/cryptoKeys/EXAMPLE_KEY

  # ================= 兜底规则（可选，放最后） =================
  - path_regex: .*
    # 没有 path_regex 或 .* = 匹配所有文件的兜底规则
    age: "AGE_RECIPIENT_PLACEHOLDER_NOT_VALID"

{ config, pkgs, lib, ... }:
{
  sops = {
    # ============ 顶层 ============
    defaultSopsFile = ./secrets/secrets.yaml;
    #   type: path | 默认密文文件（所有 secret 的默认来源）
    defaultSopsFormat = "yaml";
    #   type: str | 默认加密文件格式
    #   enum: yaml | json | dotenv | ini | binary
    defaultSopsKey = null;
    #   null = 默认按 secret 名选择；空字符串 "" 才表示整个文件
    useSystemdActivation = true;
    #   type: bool | true=用 systemd service 解密；false=NixOS activation script
    #   按实际用户管理、解密时序与挂载依赖选择
    # validationPackage 通常保留模块默认的 sops-install-secrets 验证器
    #   type: package | 此处不是任意 SOPS CLI 包

    # ============ age（解密密钥来源） ============
    age = {
      keyFile = null;
      #   type: nullOr path | 独立 age 私钥路径（null = 不用独立 key）
      #   可与 sshKeyPaths 共存；仅在希望单一来源时主动关闭其他来源
      generateKey = false;
      #   type: bool | true=若 keyFile 不存在则自动生成
      sshKeyPaths = [ "/etc/ssh/ssh_host_ed25519_key" ];
      #   type: listOf path | 从 SSH key 导入作为 age 解密密钥
      #   复用机器身份；仍需保管、备份并保证部署时可读
      #   默认值: openssh hostKeys 里的 ed25519 key
    };

    # ============ secrets（每个机密单独配置） ============
    secrets = {
      app_env = {
        sopsFile = ./secrets/secrets.yaml;
        #   type: path | 覆盖默认文件；不填写则继承 defaultSopsFile
        format = "yaml";
        #   type: enum | 覆盖格式（yaml/json/dotenv/ini/binary）
        #   默认: 继承 defaultSopsFormat；不是按扩展名推断
        path = "/run/secrets/app_env";
        #   type: str | 解密后写到哪
        #   默认: /run/secrets/<name>（普通）/ /run/secrets-for-users/<name>（neededForUsers）
        owner = null;
        #   type: nullOr str | 文件属主（null = root）
        group = null;
        #   type: nullOr str | 文件属组（默认 = owner 的 group）
        mode = "0400";
        #   type: str | 文件权限（默认 0400，仅属主可读）
        neededForUsers = false;
        #   type: bool | true=在 setupSecretsForUsers 阶段解密（早于用户就绪）
        #   该阶段在用户创建前；owner/group 必须为 root，不能指定尚未存在的应用用户
        restartUnits = [ ];
        #   type: listOf str | 解密后要重启的 systemd 服务
        reloadUnits = [ ];
        #   type: listOf str | 解密后要 reload 的 systemd 服务
      };
    };

    # ============ gnupg（可选，可与 age 来源共存） ============
    gnupg = {
      home = null;        # GnuPG home 目录
      sshKeyPaths = [ ];  # 用 SSH key 作 GPG 密钥
    };
  };

  # ============ 消费方示例 ============
  # 服务用 EnvironmentFile 读解密后的环境变量
  systemd.services.example = {
    after = [ "sops-install-secrets.service" ];
    requires = [ "sops-install-secrets.service" ];
    serviceConfig.EnvironmentFile = "/run/secrets/app_env";
  };
}

{ config, ... }:
{
  sops.secrets.api_token = { };
  sops.templates."example-app.env" = {
    content = ''
      API_TOKEN=${config.sops.placeholder.api_token}
    '';
    mode = "0400";
  };
  systemd.services.example-app = {
    after = [ "sops-install-secrets.service" ];
    requires = [ "sops-install-secrets.service" ];
    serviceConfig.EnvironmentFile = config.sops.templates."example-app.env".path;
  };
}