企业运维实战之k8s（Secret配置管理）初学者必看，点赞关注后期不迷路

Secret

Secret 对象类型用来保存敏感信息，例如密码、OAuth 令牌和 ssh key。
敏感信息放在 secret 中比放在 Pod 的定义或者容器镜像中来说更加安全和灵活。
Pod 可以用两种方式使用 secret：
作为 volume 中的文件被挂载到 pod 中的一个或者多个容器里。
当 kubelet 为 pod 拉取镜像时使用。

Secret的类型：

Service Account：Kubernetes 自动创建包含访问 API 凭据的 secret，并自动修改 pod 以使用此类型的 secret。

Opaque：使用base64编码存储信息，可以通过base64 --decode解码获得原始数据，因此安全性弱。

kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。

Service Account

serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。

[root@server2 helm]# kubectl  run nginx --image=nginx
pod/nginx created
[root@server2 helm]# kubectl exec nginx -- ls /var/run/secrets/kubernetes.io/serviceaccount
ca.crt
namespace
token

每个namespace下有一个名为default的默认的ServiceAccount对象

kubectl get secrets 查看默认ns的sc

ServiceAccount里有一个名为Tokens的可以作为Volume一样被Mount到Pod里的Secret，当Pod启动时这个Secret会被自动Mount到Pod的指定目录下，用来协助完成Pod中的进程访问API Server时的身份鉴权过程。

Opaque

Opaque Secret 其value为base64编码后的值 编码 echo -n 'xxx' | base64 解码 echo xxxxxxxx | base64 -d

从文件中创建Secret

echo -n 'admin' > ./username.txt
echo -n 'westos' > ./password.txt
kubectl create secret generic db-user-pass --from-file=./username.txt --from-file=./password.txt

kubectl get secrets db-user-pass -o yaml

命令直接创建Secret

如果密码具有特殊字符，则需要使用 \ 字符对其进行转义，执行以下命令：

kubectl create secret generic dev-db-secret --from-literal=username=devuser --from-literal=password=S\!B\\*d\$zDsb

应用yaml创建Secret

首先进行编码

vim secret.yaml

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
  password: d2VzdG9z

应用yaml文件

[root@server2 secret]# kubectl apply -f secret.yaml 
secret/mysecret created

kubernetes.io/dockerconfigjson