Kubernetes 项目实战：使用 Kustomize 高效管理 Secret

Kubernetes 项目实战：使用 Kustomize 高效管理 Secret

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

前言

在 Kubernetes 项目中，Secret 是存储敏感信息（如密码、OAuth 令牌和 SSH 密钥）的重要资源对象。传统管理方式往往需要手动进行 base64 编码，操作繁琐且容易出错。本文将详细介绍如何利用 Kustomize 这一强大的配置管理工具来简化 Secret 的创建和管理流程。

Kustomize 简介

Kustomize 是 Kubernetes 原生支持的配置管理工具，它允许用户通过声明式的方式自定义 Kubernetes 资源。与 Helm 等模板工具不同，Kustomize 采用无模板方式，通过覆盖（overlay）机制实现配置的复用和定制。

准备工作

在开始之前，请确保：

1. 已安装 kubectl 命令行工具
2. 已配置好 Kubernetes 集群访问权限
3. 了解基本的 YAML 语法

创建 Secret 的三种方式

1. 使用文字值（Literals）

这是最简单直接的方式，适合快速测试场景：

# kustomization.yaml
secretGenerator:
- name: app-credentials
  literals:
  - db_username=prod_admin
  - db_password=S3cr3tP@ssw0rd

特点：

• 明文写入配置文件
• 适合非生产环境或临时使用
• 无需额外文件

2. 使用文件（Files）

更安全的做法是将敏感信息存储在单独的文件中：

# 创建凭证文件
echo -n 'prod_admin' > db-username.txt
echo -n 'S3cr3tP@ssw0rd' > db-password.txt

对应的 kustomization.yaml：

secretGenerator:
- name: app-credentials
  files:
  - db-username.txt
  - db-password.txt

最佳实践：

• 将凭证文件加入 .gitignore
• 设置适当的文件权限（如 600）
• 考虑使用加密工具保护这些文件

3. 使用环境变量文件（.env）

对于已有环境变量文件的情况：

# .env.credentials
DB_USER=prod_admin
DB_PASS=S3cr3tP@ssw0rd

kustomization.yaml 配置：

secretGenerator:
- name: app-credentials
  envs:
  - .env.credentials

适用场景：

• 从现有部署脚本迁移
• 需要与 CI/CD 流程集成
• 多环境配置管理

高级应用技巧

自动名称哈希

Kustomize 会自动在 Secret 名称后附加哈希值，例如： app-credentials-5hdh7hhgfk

优势：

• 内容变更时自动生成新 Secret
• 避免配置漂移
• 支持蓝绿部署

多环境管理

通过 Kustomize 的 overlay 功能管理不同环境的 Secret：

base/
  kustomization.yaml
  resources/
overlays/
  dev/
    kustomization.yaml
    patches/
  prod/
    kustomization.yaml
    patches/

与 ConfigMap 配合使用

可以同时定义 secretGenerator 和 configMapGenerator：

secretGenerator:
- name: db-secret
  files:
  - credentials.txt

configMapGenerator:
- name: app-config
  files:
  - application.properties

注意事项

1. 安全警告：即使使用文件方式，敏感信息仍会以明文存在于磁盘上
2. 版本控制：切勿将包含真实凭证的 kustomization 文件提交到版本控制系统
3. RBAC 配置：确保只有授权人员能访问包含 Secret 的目录
4. 审计日志：记录 Secret 的创建和修改操作

实际应用示例

假设我们需要为微服务架构创建多个 Secret：

# kustomization.yaml
secretGenerator:
- name: db-credentials
  literals:
  - username=service_user
  - password=DB@Pass123

- name: redis-config
  files:
  - redis-password.txt

- name: api-keys
  envs:
  - .api-keys.env

应用配置：

kubectl apply -k .

维护与更新

当需要更新 Secret 时：

1. 修改源文件（.txt/.env）或 kustomization.yaml
2. 重新应用配置：kubectl apply -k .
3. 滚动更新相关 Pod 以使用新 Secret

清理资源

删除所有生成的 Secret：

kubectl delete secret --selector generated-by=kustomize

总结

通过 Kustomize 管理 Kubernetes Secret 提供了以下优势：

1. 简化流程：自动处理 base64 编码
2. 版本安全：内容变更自动生成新资源
3. 灵活集成：支持多种数据源格式
4. 声明式管理：与 GitOps 工作流完美契合

对于复杂的生产环境，建议将 Kustomize 与专业的密钥管理服务（如 Vault）结合使用，实现最高级别的安全保护。

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website