揭秘 Kubernetes Secret：安全存储敏感信息的秘密武器，成功入职头条月薪35K

本文链接：https://blog.csdn.net/2401_84297035/article/details/137652947

Kubernetes Secret

Secret 是 Kubernetes 中用于存储敏感信息的资源，例如密码、API 密钥和 SSH 密钥。Secret 可以被 Pod 和其他 Kubernetes 资源使用，而无需将敏感信息暴露在配置文件或环境变量中。

1. Secret 类型

Kubernetes 支持多种类型的 Secret，包括：

Opaque Secret: 用于存储任意类型的数据，例如密码和 API 密钥。
DockerConfig Secret: 用于存储 Docker 镜像仓库的认证信息。
TLS Secret: 用于存储 TLS 证书和密钥。
SSH Secret: 用于存储 SSH 密钥。

2. Secret 用途

Secret 可用于以下场景：

存储数据库密码
存储 API 密钥
存储 SSH 密钥
存储 TLS 证书和密钥
存储任何其他敏感信息

3. Secret 类型选择

选择合适的 Secret 类型取决于您要存储的数据类型。

如果您要存储任意类型的数据，请使用 Opaque Secret。
如果您要存储 Docker 镜像仓库的认证信息，请使用 DockerConfig Secret。
如果您要存储 TLS 证书和密钥，请使用 TLS Secret。
如果您要存储 SSH 密钥，请使用 SSH Secret。

4. 创建 Secret

您可以使用 kubectl 命令行工具或 Kubernetes API 创建 Secret。

示例：创建 Opaque Secret

apiVersion: v1kind: Secretmetadata: name: my-secretdata: username: my-username password: my-password

创建 DockerConfig Secret：

apiVersion: v1kind: Secretmetadata: name: my-dockerconfig-secretdata: .dockercfg: $(echo -n “{“auths”:{“https://index.docker.io/v1/”:{“username”:“my-username”,“password”:“my-password”}}}”) | base64 -w 0

创建 TLS Secret：

apiVersion: v1kind: Secretmetadata: name: my-tls-secretdata: tls.crt: $(cat my-tls.crt | base64 -w 0) tls.key: $(cat my-tls.key | base64 -w 0)

创建 SSH Secret：

apiVersion: v1kind: Secretmetadata: name: my-ssh-secretdata: ssh-privatekey: $(cat my-ssh-privatekey | base64 -w 0)

5. 使用 Secret

您可以使用以下两种方式将 Secret 注入到 Pod 中：

环境变量: 使用 envFrom 字段将 Secret 数据注入到 Pod 的环境变量中。
Volume: 将 Secret 挂载到 Pod 的 Volume 中。
YAML文件

示例：使用环境变量注入 Secret

apiVersion: v1kind: Podmetadata: name: my-podspec: containers: - name: my-container envFrom: - secretRef: name: my-secret

创建 Pod

apiVersion: v1kind: Podmetadata: name: my-podspec: containers: - name: my-container envFrom: - secretRef: name: my-secret

查看 Pod 环境变量

kubectl exec -it my-pod – env | grep -i username
输出结果username=my-username

示例：使用 Volume 注入 Secret

创建 Secret

apiVersion: v1kind: Secretmetadata: name: my-secretdata: username: my-username password: my-password

创建 Pod

apiVersion: v1kind: Podmetadata: name: my-podspec: containers: - name: my-container volumeMounts: - name: my-secret mountPath: /etc/secret volumes: - name: my-secret secret: secretName: my-secret

查看 Pod 中的文件

kubectl exec -it my-pod – cat /etc/secret/username输出：my-username