27、GitOps与Kubernetes安全实践指南

GitOps与Kubernetes安全实践指南

1. GitOps与持续交付概述

在持续交付的领域中，GitOps以“配置即代码”的理念崭露头角。以下是相关环境变量的设置示例：

env:
  - 'CLOUDSDK_COMPUTE_REGION=us-west1'
  - 'CLOUDSDK_CONTAINER_CLUSTER=my-cluster'

这仅仅触及了持续交付的表面。若你使用Cloud Build，可以参考“GitOps-Style Continuous Delivery with Cloud Build”指南，它能帮助你搭建完整的端到端CI/CD流程。

2. 秘密管理

Git仓库是存储Kubernetes配置的理想场所，但有些数据，如数据库密码和API密钥等秘密值，不适合存放在这里。若将这些秘密嵌入代码或环境变量中，任何有权访问源代码的人都能获取这些秘密。更优的做法是，只有能访问生产系统的人才能获取这些数据。接下来将聚焦于如何将秘密与代码和配置仓库分离。

2.1 基于字符串的（密码）秘密

如果你之前在工作负载配置的普通环境变量中嵌入了像密码这样的秘密，现在是将它们迁移到Kubernetes Secret对象的时候了。以下是一个示例：

apiVersion: v1
kind: Secret
metadata:
  name: secrets-production
type: Opaque
stringData:
  SECRET_