27、GitOps与Kubernetes安全实践指南

GitOps与Kubernetes安全实践指南

1. GitOps与持续交付

在持续交付领域，仅仅是冰山一角。若使用Cloud Build，可参考 “GitOps-Style Continuous Delivery with Cloud Build” 指南，它能帮助搭建完整的端到端CI/CD流程。以下是相关环境配置示例：

env:
  - 'CLOUDSDK_COMPUTE_REGION=us-west1'
  - 'CLOUDSDK_CONTAINER_CLUSTER=my-cluster'

2. 秘密管理

Git仓库适合存储Kubernetes配置，但像数据库密码和API密钥等敏感数据不应存于其中。若将这些秘密嵌入代码或环境变量，任何有权访问源代码的人都能获取。理想情况是只有能访问生产系统的人才能获取这些数据。Kubernetes提供了名为Secrets的对象来安全存储这些敏感信息。

2.1 基于字符串的（密码）秘密

若之前在工作负载配置的普通环境变量中嵌入密码等秘密，现在可将其迁移至Secrets。例如，有一个值为 secret_value 的秘密，可将其封装到Kubernetes Secret对象中：

apiVersion: v1
kind: Secret
metadata:
  name: secrets-production
type: Opaque
stringData:
  SECRET_KEY: secret_va