Validierungs-Pipeline
helm lint --strict: statische Chart-Prüfung.
helm template: Offline-Rendering, in CI gegen
Schema-Validatoren wie kubeconform pipen.
helm install --dry-run=server: rendert mit
Cluster-Zugriff (lookup funktioniert), ohne zu
installieren. --dry-run gibt gerenderte Secrets
unmaskiert aus (data base64, stringData
im Klartext), in CI-Logs --hide-secret setzen.
helm diff upgrade (Plugin): zeigt vor
dem Upgrade den Diff gegen das Manifest des letzten Release, Drift
im Cluster erst mit --three-way-merge.
Helm 4 prüft Plugin-Signaturen (.prov) per
Default, Git-URLs sind nicht prüfbar: darum das signierte
Release-.tgz installieren,
--verify=false nur als bewusste Ausnahme. Den
importierten Key per Fingerprint prüfen. Im Default-Keyring
liest Helm erst ab 4.3 auch pubring.kbx (GnuPG ab
2.1), davor --keyring auf einen binär exportierten
Keyring (gpg --export) setzen.
helm lint ./shop --strict helm template shop ./shop -f values-prod.yaml \ | kubeconform -strict -summary helm install shop ./shop --dry-run=server curl -sL https://github.com/databus23.gpg | gpg --import gpg --fingerprint EA17A2A206AFF8CD # muss lauten: # C564 5EF4 7482 257A 1F80 6D2B EA17 A2A2 06AF F8CD REL=https://github.com/databus23/helm-diff/releases helm plugin install \ $REL/latest/download/helm-diff-linux-amd64.tgz helm diff upgrade shop ./shop -f values-prod.yaml