告别硬编码，玩转 Kubernetes ConfigMap 和 Secret：配置管理与安全秘钥的最佳实践

2025/7/4 02:48:19 213 0 0 0

在 Kubernetes 的世界里，如何优雅地管理应用程序的配置信息和敏感数据，一直是个让人头疼的问题。难道要硬编码到代码里？No，No，No！这简直是安全噩梦！今天，就让我这个 Kubernetes 老司机，带你玩转 ConfigMap 和 Secret，告别硬编码，让你的应用配置管理既安全又高效！

1. 啥是 ConfigMap 和 Secret？

ConfigMap：顾名思义，就是用来存储配置数据的。它可以存储一些非敏感的配置信息，例如数据库连接字符串、应用的行为开关、或者是一些其他的配置参数。你可以把 ConfigMap 想象成一个 key-value 键值对的集合，你的应用程序可以像读取环境变量一样，轻松地读取这些配置信息。
Secret：Secret 则更注重安全性，它用来存储敏感数据，例如密码、API 密钥、证书等等。Secret 中的数据会被 Kubernetes 加密存储，并且可以限制访问权限，防止未经授权的访问。你可以把 Secret 想象成一个保险箱，只有授权的用户才能打开它。

简单来说，ConfigMap 存配置，Secret 藏秘密！

2. 为什么要用 ConfigMap 和 Secret？

解耦配置和代码：将配置信息从代码中分离出来，使得修改配置不需要重新编译和部署应用程序。这大大提高了灵活性和可维护性。
简化配置管理：集中管理应用程序的配置信息，方便统一修改和版本控制。
提高安全性：使用 Secret 存储敏感数据，可以避免敏感信息泄露的风险。
方便环境迁移：不同的环境可以使用不同的 ConfigMap 和 Secret，方便应用程序在不同环境之间迁移。

3. ConfigMap 的使用姿势

3.1 创建 ConfigMap

创建 ConfigMap 有多种方式，这里介绍两种常用的方式：

使用 kubectl create configmap：
```
kubectl create configmap my-config --from-literal=key1=value1 --from-literal=key2=value2
```
这个命令会创建一个名为 my-config 的 ConfigMap，其中包含两个 key-value 键值对：key1=value1 和 key2=value2。

使用 YAML 文件：

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-config
data:
  key1: value1
  key2: value2

将以上内容保存为 my-config.yaml 文件，然后执行以下命令创建 ConfigMap：

kubectl apply -f my-config.yaml

3.2 在 Pod 中使用 ConfigMap

在 Pod 中使用 ConfigMap 也有多种方式：

作为环境变量：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx
    env:
    - name: MY_KEY1
      valueFrom:
        configMapKeyRef:
          name: my-config
          key: key1

这个配置会将 ConfigMap my-config 中的 key1 的值，注入到容器的环境变量 MY_KEY1 中。

作为 Volume 挂载：
```
apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config
  volumes:
  - name: config-volume
    configMap:
      name: my-config
```
这个配置会将 ConfigMap my-config 挂载到容器的 /etc/config 目录下，ConfigMap 中的每个 key-value 键值对都会成为该目录下的一个文件。例如，key1=value1 会生成一个名为 key1 的文件，文件内容为 value1。

3.3 ConfigMap 的更新

ConfigMap 的更新不会自动同步到已经挂载的 Pod 中。如果需要更新 Pod 中的配置，需要重新启动 Pod。Kubernetes 提供了 kubectl rollout restart 命令来方便地重启 Deployment 或者 StatefulSet。

4. Secret 的使用姿势

4.1 创建 Secret

创建 Secret 的方式与 ConfigMap 类似，也有两种常用的方式：

使用 kubectl create secret：
```
kubectl create secret generic my-secret --from-literal=username=admin --from-literal=password=password123
```
这个命令会创建一个名为 my-secret 的 Secret，其中包含两个 key-value 键值对：username=admin 和 password=password123。注意，使用这种方式创建的 Secret 中的数据是 base64 编码的，而不是加密的。
使用 YAML 文件：
```
apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
data:
  username: YWRtaW4=
  password: cGFzc3dvcmQxMjM=
```
将以上内容保存为 my-secret.yaml 文件，然后执行以下命令创建 Secret：
```
kubectl apply -f my-secret.yaml
```
注意，使用 YAML 文件创建 Secret 时，需要将数据进行 base64 编码。

4.2 在 Pod 中使用 Secret

在 Pod 中使用 Secret 的方式与 ConfigMap 类似，也有两种方式：

作为环境变量：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx
    env:
    - name: DB_USERNAME
      valueFrom:
        secretKeyRef:
          name: my-secret
          key: username
    - name: DB_PASSWORD
      valueFrom:
        secretKeyRef:
          name: my-secret
          key: password

这个配置会将 Secret my-secret 中的 username 和 password 的值，分别注入到容器的环境变量 DB_USERNAME 和 DB_PASSWORD 中。

作为 Volume 挂载：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: nginx
    volumeMounts:
    - name: secret-volume
      mountPath: /etc/secrets
      readOnly: true
  volumes:
  - name: secret-volume
    secret:
      secretName: my-secret

这个配置会将 Secret my-secret 挂载到容器的 /etc/secrets 目录下，Secret 中的每个 key-value 键值对都会成为该目录下的一个文件。例如，username=admin 会生成一个名为 username 的文件，文件内容为 admin。

4.3 Secret 的更新

与 ConfigMap 类似，Secret 的更新也不会自动同步到已经挂载的 Pod 中，需要重新启动 Pod。

5. ConfigMap 和 Secret 的最佳实践

不要将敏感数据存储在 ConfigMap 中：ConfigMap 存储的是非敏感数据，如果需要存储敏感数据，请使用 Secret。
使用 Secret 存储密码、API 密钥、证书等敏感信息：Secret 会对数据进行加密存储，并且可以限制访问权限，防止未经授权的访问。
限制 Secret 的访问权限：只允许需要的 Pod 访问 Secret，避免 Secret 被滥用。
定期更新 Secret：定期更新 Secret 中的敏感数据，例如密码、API 密钥等，以提高安全性。
使用外部 Secret 管理工具：例如 HashiCorp Vault、AWS Secrets Manager 等，可以更安全地管理 Secret。

6. 常见问题及解决方案

ConfigMap 或 Secret 更新后，Pod 中的配置没有更新：ConfigMap 和 Secret 的更新不会自动同步到已经挂载的 Pod 中，需要重新启动 Pod。
无法访问 ConfigMap 或 Secret：检查 Pod 的 ServiceAccount 是否有权限访问 ConfigMap 或 Secret。
Secret 中的数据是 base64 编码的，如何解码？：可以使用 kubectl get secret <secret-name> -o yaml 命令查看 Secret 的内容，然后使用 base64 解码工具解码数据。

7. 总结

ConfigMap 和 Secret 是 Kubernetes 中非常重要的概念，它们可以帮助我们更好地管理应用程序的配置信息和敏感数据，提高应用程序的安全性、灵活性和可维护性。掌握 ConfigMap 和 Secret 的使用方法，是成为一名合格的 Kubernetes 工程师的必备技能。

希望这篇文章能够帮助你更好地理解和使用 ConfigMap 和 Secret，告别硬编码，让你的 Kubernetes 之旅更加顺畅！

Kubernetes老司机 Kubernetes ConfigMap Secret