配置资源管理之configmap和secret

一 Secret

Secret 是用来保存密码、token、密钥等敏感数据的 k8s 资源，这类数据虽然也可以存放在 Pod 或者镜像中，但是放在 Secret 中是为了更方便的控制如何使用数据，并减少暴露的风险。

 1 Secret类型： 

① service-account-token：由 Kubernetes 自动创建，用来访问 APIServer 的 Secret，Pod 会默         认使用这个 Secret 与 APIServer 通信， 并且会自动挂载到 Pod 的                                                   /run/secrets/kubernetes.io/serviceaccount 目录中;

② Opaque ：base64 编码格式的 Secret，用来存储用户自定义的密码、密钥等，默认的 Secret                           类型;并不提供安全性，它只是用来避免在YAML文件中直接暴露明文信息，

③ docker configjson ：存储私有 docker registry 的认证信息，可搭建私有仓库且在客户端登录私         有仓库时，可以免密登录

④ TLS：可存储tls的证书、秘钥

2 Pod 需要先引用才能使用某个 secret，Pod 有 3 种方式来使用 secret：

• 作为挂载到一个或多个容器上的卷 中的文件。
• 作为容器的环境变量。
• 由 kubelet 在为 Pod 拉取镜像时使用。

应用场景：凭据

https://kubernetes.io/docs/concepts/configuration/secret/

二 创建 Secret

1 用陈述式命令创建Secret 

kubectl cerate secretgeneric --from-file=文件指定文件名 还可以多次使用，也可以指定多个文件目录，(把目录下的所有文件引用进去)

 ----from---literal-键值对(key-value)引用 一个键值对，也可以多次

创建 Secret
1、用kubectl create secret命令创建Secret
echo -n 'zhangsan' > username.txt
echo -n 'abc1234' > password.txt

kubectl create secret generic mysecret --from-file=username.txt --from-file=password.txt

kubectl get secrets
NAME                  TYPE                                  DATA   AGE
default-token-8pqp6   kubernetes.io/service-account-token   3      3d1h
mysecret              Opaque                                2      51s

kubectl describe secret mysecret
Name:         mysecret
Namespace:    default
Labels:       <none>
Annotations:  <none>

Type:  Opaque

Data
====
password.txt:  7 bytes
username.txt:  8 bytes
//get或describe指令都不会展示secret的实际内容，这是出于对数据的保护的考虑

 2 用 base64 编码，创建Secret

• 陈述：明文创建
• base64：加密创建

2、内容用 base64 编码，创建Secret
echo -n zhangsan | base64
emhhbmdzYW4K=

echo -n abc1234 | base64
YWJjMTIzNAo==

vim secret.yaml
apiVersion: v1
kind: Secret
metadata:
  name: mysecret1
type: Opaque
data:
  username: emhhbmdzYW4K=
  password: YWJjMTIzNAo==

kubectl create -f secret.yaml 

kubectl get secrets
NAME                  TYPE                                  DATA   AGE
default-token-8pqp6   kubernetes.io/service-account-token   3      3d1h
mysecret              Opaque                                2      43m
mysecret1             Opaque                                2      6s

kubectl get secret mysecret1 -o yaml
apiVersion: v1
data:
  password: YWJjMTIzNAo==
  username: emhhbmdzYW4K=
kind: Secret
metadata:
  creationTimestamp: 2021-05-24T09:11:18Z
  name: mysecret1
  namespace: default
  resourceVersion: "45641"
  selfLink: /api/v1/namespaces/default/secrets/mysecret1
  uid: fffb7902-bc6f-11eb-acba-000c29d88bba
type: Opaque

① 获取加密信息 

② 使用yaml文件创建 

3  用挂在存储方式存储

将 Secret 挂载到 Volume 中，以 Volume 的形式挂载到 Pod 的某个目录下

使用方式 
1、将 Secret 挂载到 Volume 中，以 Volume 的形式挂载到 Pod 的某个目录下
vim secret-test.yaml
apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
  - name: nginx
    image: nginx
    volumeMounts:
    - name: secrets
      mountPath: "/etc/secrets"
      readOnly: true
  volumes:
  - name: secrets
    secret:
      secretName: mysecret

kubectl create -f secret-test.yaml

kubectl get pods
NAME         READY   STATUS    RESTARTS   AGE
seret-test   1/1     Running   0          16s

kubectl exec -it seret-test bash
 # cd /etc/secrets/
 # ls
password.txt  username.txt
 # vi password.txt 
 # vi username.txt 

错误总结 ：关机重启----胡

kubectl exec -it seret-test bash

实践版

① 创建yaml文件

apiVersion: v1
kind: Pod
metadata:
  labels:
    run: myapp-demo01
  name: myapp-demo01
spec:
  containers:
  - image: soscscs/myapp:v1
    name: myapp-demo01
    ports:
    - containerPort: 80
    volumeMounts:
    - name: mysecret
      mountPath: "/etc/secret"
      readOnly: true
  restartPolicy: Always
  volumes:
    - name: mysecret
    secret:
      secretName: mysecret

② 启动该文件 

③ 切入到该文件 

4  将 Secret 导出到环境变量中

项目 1

vim secret-test1.yaml
apiVersion: v1
kind: Pod
metadata:
  name: mypod1
spec:
  containers:
  - name: nginx
    image: nginx
    env:
      - name: TEST_USER
        valueFrom:
          secretKeyRef:    #调用键值对
            name: mysecret1
            key: username
      - name: TEST_PASSWORD  #变量
        valueFrom:
          secretKeyRef:
            name: mysecret1
            key: password

kubectl apply -f secret-test1.yaml 

此实验没有完全成功

项目 2

apiVersion: v1
kind: Pod
metadata:
  labels:
    run: myapp-demo02
  name: myapp-demo02
spec:
  containers:
  - image: soscscs/myapp:v1
    name: myapp-demo02
    env:
      - name: TEST_USER
        valueFrom:
          secretKeyRef:
            name: mysecret01
            key: username
      - name: TEST_PASSWORD
        valueFrom:
          secretKeyRef:
            name: mysecret01
            key: password
~                           

文件读取 挂在变量 

kubectl exec -it myapp demo03-pod-sc.yaml

echo $TEST_USER

echo $TEST_PASSWORD

或  env|TEST

中类型secret

1  0paque 通用类型(可以通过文件 目录、变量创建)默认类型

2  kubernetes,io/service-account-token k8s自动创建的给serviceaccountza在k8s集群内部的专属服 
    物用户)访问APiserver 使用

3  kubernetes.io/dockerconfigison 给k8s 从harbor私有镜像介库去镜像认证使用的

4  kubernetes.io/tls 通过TLS 证书来认证的 (私有文件、秘钥)

陈述式

还可以多次使用，也可以指定多个文件目录kubectl cerate secretgeneric --from-file=文件指定文件名(把目录下的所有文件引用进去)
           ----from-literal-键值对(key-value)引用 一个键值对，也可以多次

挂载的方式

定义类型secret 的存储卷volumesvolumeMounts 把存储卷挂载到容器目录，secret资源数据中的键 将以文件名的形式显示，值文件内容

容器环境变量的方式eny 
定义容器的环境变量名
使用 valueFrom.secretKeyRef.name指定secret资源的名称
valuerrom.secretKevRef.name指定这个secret资源数据的健名，从而确定引用那个键的值
k8s从hatbor私有仓库拉取镜像的时使用
imagePullsecret指定kubernetes.io/dockerconfigjson类型的 secret 来作为连接私有仓库的认证信息

此实验没有完全成功

三 Secret的作用

安全性提升：避免明文存储敏感信息，减少因不当配置导致的数据泄露风险。

简化配置管理：集中管理Pod或服务账户所需的敏感信息，便于更新和复用。

灵活性：支持多种方式使用Secret，包括环境变量、文件挂载或作为命令行参数，满足不同应用                   的需求。

权限控制：通过RBAC（Role-Based Access Control）限制对Secret的访问，确保只有授权的用户                    和服务账户能访问敏感数据。

四 Secret的弊端

保护Secrets：确保你的Secrets在传输和存储过程中都是安全的。避免在不受信任的环境中暴露                           Secrets。

定期轮换：对于重要的Secrets，如数据库密码或API密钥，定期轮换是一个好的安全实践。

最小权限原则：只将必要的Secrets暴露给需要它们的Pod。避免在不需要的地方暴露Secrets。

不要将Secrets硬编码在代码中：这是非常不安全的做法，因为一旦代码被泄露，Secrets也会被泄                                                      露。

使用RBAC：通过Kubernetes的角色和角色绑定（RBAC）来控制对Secrets的访问权限。

五 创建ConfigMap

管理容器的一种工具

• 与Secret类似，区别在于ConfigMap保存的是不需要加密配置的信息。
• ConfigMap 功能在 Kubernetes1.2 版本中引入，许多应用程序会从配置文件、命令行参数或环境变量中读取配置信息。
• ConfigMap API 给我们提供了向容器中注入配置信息的机制，
• ConfigMap 可以被用来保存单个属性，也可用来保存整个配置文件或者JSON二进制大对象。

特点

非机密性数据存储：ConfigMap主要用于存储非机密性的配置信息，如数据库连接信息、环境变量                                                                                                                                                      等。

键值对形式：ConfigMap的数据可以用key/value键值对的形式保存，也可以通过文件的形式保存。

资源对象：ConfigMap是k8s中的资源对象，可以通过kubectl命令行工具或Kubernetes API进行创                    建、更新和删除。

与Pod的交互：Pods可以将ConfigMap用作环境变量、命令行参数或存储卷中的配置文件。

动态更新：ConfigMap支持热更新，即在不重启Pods的情况下，可以动态地修改ConfigMap中的                       数据，Pods会实时地读取新的配置

用途

• 环境变量：   将 ConfigMap 中的配置作为环境变量传递给容器中的应用程序。
• 命令行参数：使用 ConfigMap 中的值填充容器启动命令的参数。
• 文件挂载：    将ConfigMap 数据作为文件或目录挂载到容器的文件系统中，方便应用程序按                          文件形式读取配置。

应用场景：应用配置

1 使用命令行直接创建

2 使用yaml创建

将配置文件放在指定的目录中，然后通过kubectl命令行工具或yaml文件来创建ConfigMap

mkdir /opt/configmap/
 
vim /opt/configmap/game.properties
enemies=aliens
lives=3
enemies.cheat=true
enemies.cheat.level=noGoodRotten
secret.code.passphrase=UUDDLRLRBABAS
secret.code.allowed=true
secret.code.lives=30
 
vim /opt/configmap/ui.properties
color.good=purple
color.bad=yellow
allow.textmode=true
how.nice.to.look=fairlyNice

ls /opt/configmap/
game.properties
ui.properties

kubectl create configmap game-config --from-file=/opt/configmap

--from-file 指定在目录下的所有文件都会被用在 ConfigMap 里面创建一个键值对，键的名字就是文件名，值就是文件的内容

kubectl create configmap game-config --from-file=/opt/configmap

--from-file 指定在目录下的所有文件都会被用在 ConfigMap 里面创建一个键值对，键的名字就是文件名，值就是文件的内容


kubectl get cm
NAME          DATA   AGE
game-config   2      10s

 kubectl get cm game-config -o yaml

 总结：

可以使用目录 创建 nginx.conf，也可以使用使用文件 又可以使用多个指定目录来去创建

3 使用文件创建

 只要指定为一个文件就可以从单个文件中创建 ConfigMap
--from-file 这个参数可以使用多次，即可以使用两次分别指定上个实例中的那两个配置文件，效果就跟指定整个目录是一样的

kubectl create configmap game-config-2 --from-file=/opt/configmap/game.properties --from-file=/opt/configmap/ui.properties

kubectl get configmaps game-config-2 -o yaml

kubectl describe cm game-config-2

4 使用字面值创建 

使用文字值创建，利用 --from-literal 参数传递配置信息，该参数可以使用多次，格式如下

kubectl create configmap special-config --from-literal=special.how=very --from-literal=special.type=good

kubectl get configmaps special-config -o yaml

apiVersion: v1
data:
  special.how: very					#key-value 结构
  special.type: good
kind: ConfigMap
metadata:
  creationTimestamp: 2021-05-25T06:59:37Z
  name: special-config
  namespace: default
  resourceVersion: "88610"
  selfLink: /api/v1/namespaces/default/configmaps/special-config
  uid: c4f45936-bd26-11eb-acba-000c29d88bba


kubectl delete cm --all
kubectl delete pod --all

创建键值对

六 Pod 中使用 ConfigMap 

1 使用 ConfigMap 来替代环境变量

注意：因为涉及环境需要把之前创建删除

vim env.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: special-config
  namespace: default
data:
  special.how: very    #键
  special.type: good   #值
---
apiVersion: v1
kind: ConfigMap
metadata:
  name: env-config
  namespace: default
data:
  log_level: INFO


kubectl create -f env.yaml 

kubectl get cm

 Pod的创建

vim test-pod.yaml
apiVersion: v1
kind: Pod
metadata:
  name: test-pod
spec:
  containers:
  - name: busybox
    image: busybox:1.28.4
    command: [ "/bin/sh", "-c", "env" ]
    env:
      - name: SPECIAL_HOW_KEY
        valueFrom:
          configMapKeyRef:
            name: special-config
            key: special.how
      - name: SPECIAL_TYPE_KEY
        valueFrom:
          configMapKeyRef:
            name: special-config
            key: special.type
    envFrom:
      - configMapRef:
          name: env-config
  restartPolicy: Never        #没有重启策略


kubectl create -f test-pod.yaml

kubectl get pods

kubectl logs pod-test 

相应的变量进行调用 

kubectl logs pod-test
KUBERNETES_SERVICE_PORT=443
KUBERNETES_PORT=tcp://10.0.0.1:443
HOSTNAME=pod-test
SHLVL=1
SPECIAL_HOW_KEY=very			#赋值变量 SPECIAL_HOW_KEY 的值为 special-config 的 special.how: very
HOME=/root
SPECIAL_TYPE_KEY=good			#赋值变量 SPECIAL_TYPE_KEY 的值为 special-config 的 special.type: good
KUBERNETES_PORT_443_TCP_ADDR=10.0.0.1
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
KUBERNETES_PORT_443_TCP_PORT=443
KUBERNETES_PORT_443_TCP_PROTO=tcp
log_level=INFO					#引入 env-config 的变量 log_level: INFO
KUBERNETES_PORT_443_TCP=tcp://10.0.0.1:443
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_SERVICE_HOST=10.0.0.1
PWD=/

2 用 ConfigMap 设置命令行参数 

 vim test-pod2.yaml
apiVersion: v1
kind: Pod
metadata:
  name: test-pod2
spec:
  containers:
  - name: busybox
    image: busybox:1.28.4
    command: 
	- /bin/sh
	- -c
	- echo "$(SPECIAL_HOW_KEY) $(SPECIAL_TYPE_KEY)"
    env:
      - name: SPECIAL_HOW_KEY
        valueFrom:
          configMapKeyRef:
            name: special-config
            key: special.how
      - name: SPECIAL_TYPE_KEY
        valueFrom:
          configMapKeyRef:
            name: special-config
            key: special.type
    envFrom:
      - configMapRef:
          name: env-config
  restartPolicy: Never


kubectl create -f test-pod2.yaml

kubectl get pods

3 通过数据卷插件使用ConfigMap 

在数据卷里面使用 ConfigMap，就是将文件填入数据卷，在这个文件中，键就是文件名，键值就是文件内容

vim test-pod3.yaml
apiVersion: v1
kind: Pod
metadata:
  name: test-pod3
spec:
  containers:
  - name: busybox
    image: busybox:1.28.4
    command: [ "/bin/sh", "-c", "sleep 36000" ]   #等待时间
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config
  volumes:
    - name: config-volume
      configMap:                 #对它进行调用
        name: special-config
  restartPolicy: Never

 

kubectl create -f test-pod3.yaml 

kubectl get pods

kubectl exec -it test-pod3 sh

五 ConfigMap 的热更新 

vim test-pod4.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: log-config
  namespace: default
data:
  log_level: INFO
---
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: my-nginx
spec:
  replicas: 1
  template:
    metadata:
      labels:
        run: my-nginx
    spec:
      containers:
      - name: my-nginx
        image: nginx
        ports:
        - containerPort: 80
        volumeMounts:
        - name: config-volume
          mountPath: /etc/config
      volumes:
        - name: config-volume
          configMap:
            name: log-config

kubectl apply -f test-pod5.yaml

kubectl get pods 

kubectl exec -it my-nginx-76b6489f44-6dwxh -- cat /etc/config/log_level
INFO

kubectl edit configmap log-config

第一种方法：在线改里面的参数；在线改端口

//等大概10秒左右，使用该 ConfigMap 挂载的 Volume 中的数据同步更新 
kubectl exec -it my-nginx-76b6489f44-6dwxh -- cat /etc/config/log_level
DEBUG

//ConfigMap 更新后滚动更新 Pod
更新 ConfigMap 目前并不会触发相关 Pod 的滚动更新，可以通过在 .spec.template.metadata.annotations 中添加 version/config ，每次通过修改 version/config 来触发滚动更新

kubectl patch deployment my-nginx --patch '{"spec": {"template": {"metadata": {"annotations": {"version/config": "20210525" }}}}}'

kubectl get pods 

PS：更新 ConfigMap 后：

使用该 ConfigMap 挂载的 Env 不会同步更新。

使用该 ConfigMap 挂载的 Volume 中的数据需要一段时间（实测大概10秒）才能同步更新。

六 更新资源的热更新

指定页面

总结：

configmap
ConfigMap 挂载的 Volume 中的数据同步更新你修改 当中配置 他会更新策略资源更新 方式两种热更新

① 可以根据 kubectl edit 修改当中 配置 来去做热更新(在线更新)

{"apiversion":"apps/vl","kind":"peploment","metadata": "amotations": ),"labels": app":"dem04-myapp"), "name":"demo04 myapp" "namespace"."default"! "spec": "replicas":1 "selector": "matchlabels": "app":"demo04-myapp"ll,"template": !"metadata": "labels": f"app":"demo04 -myapp"l "spec": !"containers": [!"image":"sosccs /myapp:vl","name":"mypp","ports": [f"containerPort":80)],"volumeMounts":[{"mountPath":"/usr/share/nginx/html" "name"."cm wya"l !"mountPath":"/etc/nginx/nginx,conf" "name":"cm pginx" "subeath":"nginx.conf"!l)l,"volumes":["confioMap": name":"web-wuyunging" },"name":"cm-wyq"}, {"configMap": {"name": "nginx-config"},"name":"m-nginx"}]}}})

@ 根据 kubectl patch deployment demo04-myapp --patch 对应层级 和列表的方式 来完成热更新案列:kubectl patch deployment demo04-myapp -patch "{"spec": {"template": {"spec": {"containers": [{"image": "soscscs/myapp:v2","name":"myapp"}]}}}}'

总结：

挂载的方式

①定义类型secret 的存储卷

② volumesvolumeMounts 把存储卷挂载到容器目录，secret资源数据中的键 将以文件名的形式显        示，值文件内容

容器环境变量的方式

① eny 定义容器的环境变量名

② valueFrom.secretKeyRef.name指定secret资源的名称

③ 使用yaluerrom.secretKevRef.name指定这个secret资源数据的健名，从而确定引用那个键的值

从hatbor私有仓库拉取镜像的时使用

imagePullsecret指定kubernetes.io/dockerconfigjson类型的 secret 来作为连接私有仓库的认证信息

confiqmapCm创建 cm资源

kubectl create cm--from-file=文件/米--from-literal-键值对(key-value)引用