8、Kubernetes配置、安全与CI/CD实践指南

Kubernetes配置、安全与CI/CD实践指南

一、ConfigMap/Secret更新与应用部署

在处理ConfigMap和Secret的变更时，为确保应用能获取新的配置数据，可假定所有变更都需要更新整个Deployment。可借助CI/CD管道更新ConfigMap/Secret的名称属性以及Deployment中的引用，通过Kubernetes的常规更新策略触发Deployment更新。

若使用Helm部署应用，可利用Deployment模板中的注解来检查ConfigMap/Secret的sha256校验和。当ConfigMap/Secret中的数据发生变化时，Helm会使用 helm upgrade 命令更新Deployment，示例代码如下：

apiVersion: apps/v1
kind: Deployment
[...]
spec:
  template:
    metadata:
      annotations:
        checksum/config: {
  
  { include (print $.Template.BasePath "/configmap.yaml")
            . | sha256sum }}
[...]

二、Secrets最佳实践

由于Secrets API涉及敏感数据，因此有更多特定的最佳实践，主要围绕数据本身的安全性：
1. 阻止API凭证自动挂载 ：若工作负载无需直接访问Kubernetes