Kubernetes Secrets管理：使用配置文件创建与更新

Kubernetes Secrets管理：使用配置文件创建与更新

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

概述

在Kubernetes中，Secret是一种用于存储敏感信息的资源对象，如密码、OAuth令牌和SSH密钥等。本文将详细介绍如何使用YAML或JSON格式的配置文件来创建和管理Secret对象，这是Kubernetes中管理敏感数据的推荐方式之一。

准备工作

在开始之前，请确保您已经：

1. 安装并配置好Kubernetes集群
2. 安装kubectl命令行工具
3. 拥有集群操作权限

Secret配置文件详解

Secret资源包含两个主要字段：

• data：用于存储经过base64编码的任意数据
• stringData：提供便利的非编码字符串输入，系统会自动进行base64编码

创建基础Secret

1. 准备数据： 首先需要将敏感数据转换为base64编码格式：

   echo -n 'admin' | base64
   echo -n '1f2d1e2e67df' | base64
   

   输出示例：

   YWRtaW4=
   MWYyZDFlMmU2N2Rm
   

   注意：在macOS上使用base64工具时，避免使用-b选项；在Linux上则应添加-w 0选项或使用base64 | tr -d '\n'管道命令。

2. 编写配置文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque
   data:
     username: YWRtaW4=
     password: MWYyZDFlMmU2N2Rm
   

   命名规范：Secret名称必须符合DNS子域名规范。

3. 创建Secret：

   kubectl apply -f ./secret.yaml
   

使用stringData简化流程

对于不想手动编码的场景，可以直接使用stringData字段：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
stringData:
  config.yaml: |
    apiUrl: "https://my.api.com/api/v1"
    username: <user>
    password: <password>

注意：stringData字段与服务器端应用(server-side apply)的兼容性不佳。

混合使用data和stringData

当同一个字段在data和stringData中同时出现时，stringData的值将优先使用：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
stringData:
  username: administrator

最终生成的Secret中，username字段将被编码为administrator的base64形式。

更新Secret

要修改已存在的Secret：

1. 生成新的base64编码值：

   echo -n 'newpassword' | base64
   

2. 更新配置文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque
   data:
     username: YWRtaW4=
     password: <新的base64编码值>
   

3. 应用更改：

   kubectl apply -f ./secret.yaml
   

注意：只有当Secret不是不可变(immutable)时才能进行更新。

删除Secret

完成使用后，可以删除Secret：

kubectl delete secret mysecret

最佳实践

1. 最小权限原则：严格控制对Secret的访问权限
2. 定期轮换：定期更新Secret中的敏感信息
3. 避免日志记录：确保Secret内容不会出现在日志中
4. 考虑加密：对于特别敏感的数据，考虑使用Kubernetes的加密特性

总结

通过配置文件管理Kubernetes Secret提供了一种声明式的方法来处理敏感数据。这种方法可以与版本控制系统集成，便于审计和追踪变更。记住，虽然Secret提供了基本的安全保障，但在生产环境中可能需要额外的安全措施来保护这些敏感信息。

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website