配置文件之Secret

一、Secret概述

Kubernetes Secret 对象可以用来储存敏感信息，例如：密码、OAuth token、ssh 密钥等。如果不使用 Secret，此类信息可能被放置在 Pod 定义中或者容器镜像中。将此类敏感信息存储到 Secret 中，可以更好地：

-控制其使用
-降低信息泄露的风险
-用户可以直接创建 Secret，Kubernetes 系统也会创建一些 Secret。

Secret有如下几种使用方式：

-作为 Pod 的环境变量
-作为 Pod 的数据卷挂载
-kubelet 在抓取容器镜像时，作为 docker 镜像仓库的用户名密码

二、Secret常见类型

Secret的类型
在创建 Secret 对象时，你可以使用 Secret 资源的 type 字段，或使用kubectl 命令行参数为其设置类型。
Secret 的类型用来帮助编写程序处理 Secret 数据，Kubernetes 提供若干种内置的类型，用于一些常见的使用场景。 针对这些类型，Kubernetes 所执行的合法性检查操作以及对其所实施的限制各不相同。

Secret常用类型：
-Opaque：base64编码格式的Secret，用来存储密码、密钥等；
-Service Account：用来访问Kubernetes API，由Kubernetes自动创建，并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中；
-kubernetes.io/dockerconfigjson：用来存储私有docker registry的认证信息。

内置类型参考：

三、创建Secret

1、Opaque类型的数据是一个map类型，要求value是base64编码格式：
[root@master-191 ~]# echo -n "admin" | base64
YWRtaW4=
[root@master-191 ~]# echo -n "xiaoqingabc321" | base64
eGlhb3FpbmdhYmMzMjE=
2、用刚才生成的值创建secret
[root@master-191 ~]# vim  secrets.yml
apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
  password: eGlhb3FpbmdhYmMzMjE=

[root@master-191 ~]# kubectl create -f secrets.yml 
secret "mysecret" created
[root@master-191 ~]# kubectl get pod
No resources found.
3、查看
[root@master-191 ~]# kubectl get secret
NAME                  TYPE                                  DATA      AGE
default-token-qh5p5   kubernetes.io/service-account-token   3         25d
mysecret              Opaque                                2         9s

四、创建好secret之后，有两种方式来使用它：

1、以环境变量方式

[root@master-191 ~]# vim secret-var.yml
apiVersion: v1
kind: Pod
metadata:
  name: varpod
spec:
  containers:
  - name: nginx
    image: nginx
    env:
      - name: SECRET_USERNAME
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: username
      - name: SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: password
pod "varpod" created
[root@master-191 ~]# kubectl get pod 
NAME      READY     STATUS              RESTARTS   AGE
varpod    0/1       ContainerCreating   0          4s
[root@master-191 ~]# kubectl get pod 
NAME      READY     STATUS    RESTARTS   AGE
varpod    1/1       Running   0          7s
进入到容器中
[root@master-191 ~]# kubectl exec -it varpod bash
root@varpod:/# ls
bin  boot  dev	docker-entrypoint.d  docker-entrypoint.sh  etc	home  lib  lib64  media  mnt  opt  proc  root  run  sbin  srv  sys  tmp  usr  var
经测试，pod容器里能读取secret的变量
root@varpod:/# echo $SECRET_USERNAME
admin
root@varpod:/# echo $SECRET_PASSWORD
xiaoqingabc321

2、以Volume数据卷挂载方式

[root@master-191 ~]# vim secret-vol.yml
apiVersion: v1
kind: Pod
metadata:
  name: volpod
spec:
  containers:
  - name: nginx
    image: nginx
    volumeMounts:
    - name: foo
      mountPath: "/etc/foo"
      readOnly: true
  volumes:
  - name: foo
    secret:
      secretName: mysecret
[root@master-191 ~]# kubectl create -f secret-vol.yml 
pod "volpod" created
[root@master-191 ~]# kubectl get pod
NAME      READY     STATUS    RESTARTS   AGE
varpod    1/1       Running   0          7m
volpod    1/1       Running   0          11s
进入到容器中
[root@master-191 ~]# kubectl exec -it  volpod bash
root@volpod:/# ls        
bin  boot  dev	docker-entrypoint.d  docker-entrypoint.sh  etc	home  lib  lib64  media  mnt  opt  proc  root  run  sbin  srv  sys  tmp  usr  var
root@volpod:/# cd /etc/foo/
root@volpod:/etc/foo# ls
password  username
经测试，pod容器里能读取secret的变量
root@volpod:/etc/foo# cat username 
admin
root@volpod:/etc/foo# cat password 
xiaoqingabc321
root@volpod:/etc/foo# 

kubenetes官网：https://kubernetes.io/zh/docs
kubenetes社区：https://www.kubernetes.org.cn
kuboard.cn官网：https://kuboard.cn/learning