8、Kubernetes配置、安全与CI/CD实践指南

Kubernetes配置、安全与CI/CD实践指南

1. ConfigMap/Secret更新策略

在Kubernetes中，假设对ConfigMap/Secret的所有更改都需要更新整个Deployment，这样能确保代码使用新的配置数据。为简化操作，可借助CI/CD管道更新ConfigMap/Secret的名称属性，并更新Deployment中的引用，通过Kubernetes的常规更新策略触发Deployment更新。

若使用Helm将应用代码部署到Kubernetes，可利用Deployment模板中的注解来检查ConfigMap/Secret的sha256校验和。当ConfigMap/Secret中的数据发生变化时，Helm会使用 helm upgrade 命令更新Deployment，示例代码如下：

apiVersion: apps/v1
kind: Deployment
[...]
spec:
  template:
    metadata:
      annotations:
        checksum/config: {
  
  { include (print $.Template.BasePath "/configmap.yaml")
            . | sha256sum }}
[...]

2. Secrets最佳实践

2.1 阻止API凭证自动挂载

若工作负载无需直接访问Kubernetes API，应阻止服务账户（默认或操作员创建）的API凭证自动挂