configmap_Kubernetes秘密和ConfigMap简介

configmap

Kubernetes有两种类型的对象，它们可以在启动时将配置数据注入到容器中：Secrets和ConfigMaps。 密码和ConfigMap在Kubernetes中的行为类似，两者的创建方式以及因为它们可以作为已装载的文件或卷或环境变量在容器内部公开。

要探索Secrets和ConfigMap，请考虑以下情形：

您正在Kubernetes中运行官方的MariaDB容器映像 ，并且必须进行一些配置才能使容器运行。 该映像需要为MYSQL_ROOT_PASSWORD ， MYSQL_ALLOW_EMPTY_PASSWORD或MYSQL_RANDOM_ROOT_PASSWORD设置环境变量以初始化数据库。 它还允许扩展到MySQL配置文件my.cnf中通过将自定义配置文件/etc/mysql/conf.d。

您可以构建自定义映像，设置环境变量并将配置文件复制到其中，以创建定制的容器映像。 但是，最好的做法是创建和使用通用映像并将配置添加到由此映像创建的容器中。 这是ConfigMap和Secrets的完美用例。 可以在Secret中设置MYSQL_ROOT_PASSWORD ，并将其作为环境变量添加到容器中，并且可以将配置文件存储在ConfigMap中，并在启动时作为文件安装到容器中。

让我们尝试一下！

但首先：关于Kubectl的快速说明

确保您的kubectl client命令版本与正在使用的Kubernetes集群版本相同或较新。

出现以下错误：

 error: SchemaError(io.k8s.api.admissionregistration.v1beta1.ServiceReference): invalid object doesn't have additional properties 

可能意味着客户端版本太旧，需要升级。 用于安装Kubectl的Kubernetes文档包含在各种平台上安装最新客户端的说明。

如果您使用的是Mac的Docker，它还会安装自己的版本的kubectl ，这可能就是问题所在。 您可以使用brew install安装当前客户端，替换与Docker附带的客户端的符号链接：

   
   

    
    

     
     $ 
     
     rm 
     
     / usr 
     
     / local 
     
     / bin 
     
     / kubectl
     
     

$ brew 
     
     link 
     
     --overwrite kubernetes-cli
    
    
   
   

较新的kubectl客户端应继续使用Docker的Kubernetes版本。

机密

机密是一个Kubernetes对象，旨在存储少量敏感数据。 值得注意的是，密钥是在Kubernetes中以base64编码存储的，因此它们并不是绝对安全的。 确保具有适当的基于角色的访问控制 （RBAC），以保护对Secrets的访问。 即使这样，也应该使用HashiCorp Vault之类的东西来存储极其敏感的Secrets数据。 但是，对于MariaDB数据库的root密码，base64编码就可以了。

手动创建秘密

要创建包含MYSQL_ROOT_PASSWORD的Secret，请选择一个密码并将其转换为base64：

   
   

    
    
 
     
     # The root password will be "KubernetesRocks!" 
     
     

$ 
     
     echo 
     
     -n 
     
     'KubernetesRocks!' 
     
     | base64
     
     


     
     S3ViZXJuZXRlc1JvY2tzIQ ==
    
    
   
   

记下编码的字符串。 您需要它来为Secret创建YAML文件：

   
   

    
    
 
     
     apiVersion 
     
     :  v1 
     
     

kind 
     
     :  Secret 
     
     

metadata : 
     
     

  name 
     
     :  mariadb-root-password 
     
     

type 
     
     :  Opaque 
     
     

data : 
     
     

  password 
     
     :  S3ViZXJuZXRlc1JvY2tzIQ==
    
    
   
   

将文件另存为mysql-secret.yaml并使用kubectl apply命令在Kubernetes中创建Secret：

   
   

    
    

     
     $ kubectl apply 
     
     -f mysql-secret.yaml
     
     

secret 
     
     / mariadb-root-password created
    
    
   
   

查看新创建的秘密

现在，您已经创建了Secret，使用kubectl describe可以看到它：

   
   

    
    

     
     $ kubectl describe secret mariadb-root-password
     
     

Name:         mariadb-root-password
     
     

Namespace:    secrets-and-configmaps
     
     

Labels:       
     
     < none 
     
     > 
     
     

Annotations:
     
     

Type:         Opaque
     
     


     
     

Data
     
     

====
     
     

password:  
     
     16 bytes
    
    
   
   

请注意，“ 数据”字段包含您在YAML： password中设置的密钥。 分配给该密钥的值是您创建的密码，但不会在输出中显示。 取而代之的是，该值的大小显示在其位置，在这种情况下为16个字节。

您还可以使用kubectl edit secret <secretname>命令查看和编辑Secret。 如果您编辑“机密”，将会看到类似以下内容：

   
   

    
    
 
     
     # Please edit the object below. Lines beginning with a '#' will be ignored, 
     
     


     
     # and an empty file will abort the edit. If an error occurs while saving this file will be 
     
     


     
     # reopened with the relevant failures. 
     
     


     
     # 
     
     

apiVersion: v1
     
     

data:
     
     

  password: 
     
     S3ViZXJuZXRlc1JvY2tzIQ ==
     
     

kind: Secret
     
     

metadata:
     
     

  annotations:
     
     

    kubectl.kubernetes.io 
     
     / last-applied-configuration: 
     
     | 
     
     

      
     
     { 
     
     "apiVersion" : 
     
     "v1" , 
     
     "data" : 
     
     { 
     
     "password" : 
     
     "S3ViZXJuZXRlc1JvY2tzIQ==" 
     
     } , 
     
     "kind" : 
     
     "Secret" , 
     
     "metadata" : 
     
     { 
     
     "annotations" : 
     
     { 
     
     } , 
     
     "name" : 
     
     "mariadb-root-password" , 
     
     "namespace" : 
     
     "secrets-and-configmaps" 
     
     } , 
     
     "type" : 
     
     "Opaque" 
     
     } 
     
     

  creationTimestamp: 
     
     2019 -05-29T12:06:09Z
     
     

  name: mariadb-root-password
     
     

  namespace: secrets-and-configmaps
     
     

  resourceVersion: 
     
     "85154772" 
     
     

  selfLink: 
     
     / api 
     
     / v1 
     
     / namespaces 
     
     / secrets-and-configmaps 
     
     / secrets 
     
     / mariadb-root-password
     
     

  uid: 2542dadb-820a-11e9-ae24-005056a1db05
     
     

type: Opaque
    
    
   
   

同样，带有密码密钥的数据字段是可见的，这一次您可以看到base64编码的Secret。

解密秘密

假设您需要以纯文本格式查看“机密”，例如，验证机密是用正确的内容创建的。 您可以通过解码来实现。

通过提取值并将其管道传输到base64，可以很容易地对Secret进行解码。 在这种情况下，将使用输出格式-o jsonpath = <path>来使用JSONPath模板仅提取Secret值。

   
   

    
    
 
     
     # Returns the base64 encoded secret string 
     
     

$ kubectl get secret mariadb-root-password 
     
     -o 
     
     jsonpath = 
     
     '{.data.password}' 
     
     


     
     S3ViZXJuZXRlc1JvY2tzIQ ==
     
     


     
     


     
     # Pipe it to `base64 --decode -` to decode: 
     
     

$ kubectl get secret mariadb-root-password 
     
     -o 
     
     jsonpath = 
     
     '{.data.password}' 
     
     | base64 
     
     --decode -
     
     

KubernetesRocks 
     
     ! 
    
    
   
   

创建秘密的另一种方法

您也可以使用kubectl create secret命令直接创建Secrets。 MariaDB映像允许通过设置MYSQL_USER和MYSQL_PASSWORD环境变量来使用密码设置普通数据库用户。 一个Secret可以容纳多个键/值对，因此您可以创建一个Secret来容纳两个字符串。 另外，通过使用kubectl create secret ，您可以让Kubernetes与base64混淆，这样您就不必这样做了。

   
   

    
    

     
     $ kubectl create secret generic mariadb-user-creds \
     
     

      
     
     --from-literal = 
     
     MYSQL_USER =kubeuser\
     
     

      
     
     --from-literal = 
     
     MYSQL_PASSWORD =kube-still-rocks
     
     

secret 
     
     / mariadb-user-creds created
    
    
   
   

注意--from-literal ，它将键名和值全部设置为一个。 您可以根据需要传递多个--from-literal参数，以便在Secret中创建一个或多个键/值对。

使用kubectl get secrets命令验证用户名和密码是否已正确创建和存储：

   
   

    
    
 
     
     # Get the username 
     
     

$ kubectl get secret mariadb-user-creds 
     
     -o 
     
     jsonpath = 
     
     '{.data.MYSQL_USER}' 
     
     | base64 
     
     --decode -
     
     

kubeuser
     
     


     
     


     
     # Get the password 
     
     

$ kubectl get secret mariadb-user-creds 
     
     -o 
     
     jsonpath = 
     
     '{.data.MYSQL_PASSWORD}' 
     
     | base64 
     
     --decode -
     
     

kube-still-rocks
    
    
   
   

ConfigMaps

ConfigMap与Secrets类似。 可以使用相同的方法在容器中创建和共享它们。 它们之间的唯一最大区别是对base64编码的混淆。 ConfigMap用于非敏感数据（配置数据），例如配置文件和环境变量，并且是从通用容器映像创建自定义运行服务的好方法。

创建一个ConfigMap

可以使用与Secrets相同的方式来创建ConfigMap。 您可以手动编写ConfigMap的YAML表示并将其加载到Kubernetes中，也可以使用kubectl create configmap命令从命令行创建它。 下面的示例使用后一种方法创建ConfigMap，但不传递文字字符串（如上述Secret中的--from-literal = <key> = <string> ），而是从现有文件（MySQL）中创建ConfigMap。旨在用于容器中的/etc/mysql/conf.d的配置。 此配置文件将覆盖MariaDB默认设置为16M的max_allowed_pa​​cket设置。

首先，创建一个名为max_allowed_pa​​cket.cnf的文件，其内容如下：

   
   

    
    

     
     [mysqld]
     
     

max_allowed_packet = 64M
    
    
   
   

这将覆盖my.cnf文件中的默认设置，并将max_allowed_pa​​cket设置为64M。

创建文件后，您可以使用包含文件的kubectl create configmap命令创建名为mariadb-config的ConfigMap：

   
   

    
    

     
     $ kubectl create configmap mariadb-config 
     
     --from-file =max_allowed_packet.cnf
     
     

configmap 
     
     / mariadb-config created
    
    
   
   

就像Secrets一样，ConfigMap将一个或多个键/值对存储在对象的Data哈希中。 默认情况下，使用--from-file = <文件名> （如上）会将文件的内容存储为值，并将文件名存储为键。 从组织的角度来看这很方便。 但是，也可以显式设置键名。 例如，如果在创建ConfigMap时使用--from-file = max-packet = max_allowed_pa​​cket.cnf ，则密钥为max-packet，而不是文件名。 如果您有多个文件要存储在ConfigMap中，则可以使用附加的--from-file = <filename>参数添加每个文件 。

查看新的ConfigMap并读取数据

如前所述，ConfigMap并不是要存储敏感数据，因此在创建ConfigMap时不会对数据进行编码。 这使得查看和验证数据以及直接对其进行编辑变得容易。

首先，验证是否确实创建了ConfigMap：

   
   

    
    

     
     $ kubectl get configmap mariadb-config
     
     

NAME             DATA      AGE
     
     

mariadb-config   
     
     1         9m
    
    
   
   

可以使用kubectl describe命令查看ConfigMap的内容。 请注意，文件的全部内容都是可见的，并且键名实际上是文件名max_allowed_pa​​cket.cnf 。

   
   

    
    

     
     $ kubectl describe cm mariadb-config
     
     

Name:         mariadb-config
     
     

Namespace:    secrets-and-configmaps
     
     

Labels:       
     
     < none 
     
     > 
     
     

Annotations:  
     
     < none 
     
     > 
     
     


     
     


     
     

Data
     
     

====
     
     

max_allowed_packet.cnf:
     
     


     
     ---- 
     
     


     
     [ mysqld 
     
     ] 
     
     

max_allowed_packet = 64M
     
     


     
     

Events:  
     
     < none 
     
     > 
    
    
   
   

可以使用kubectl edit命令在Kubernetes中实时编辑 ConfigMap。 这样做将使用默认编辑器打开一个缓冲区，该编辑器将ConfigMap的内容显示为YAML。 保存更改后，它们将立即在Kubernetes中生效。 尽管这并不是最佳实践，但它可以方便地测试开发中的事物。

假设您希望max_allowed_pa​​cket值为32M，而不是max_allowed_pa​​cket.cnf文件中的默认16M或64M。 使用kubectl edit configmap mariadb-config编辑值：

   
   

    
    

     
     $ kubectl edit configmap mariadb-config
     
     


     
     


     
     # Please edit the object below. Lines beginning with a '#' will be ignored, 
     
     


     
     # and an empty file will abort the edit. If an error occurs while saving this file will be 
     
     


     
     # reopened with the relevant failures. 
     
     


     
     # 
     
     

apiVersion: v1
     
     


     
     

data:
     
     

  max_allowed_packet.cnf: 
     
     | 
     
     

    
     
     [ mysqld 
     
     ] 
     
     

    max_allowed_packet = 32M
     
     

kind: ConfigMap
     
     

metadata:
     
     

  creationTimestamp: 
     
     2019 -05-30T12:02:22Z
     
     

  name: mariadb-config
     
     

  namespace: secrets-and-configmaps
     
     

  resourceVersion: 
     
     "85609912" 
     
     

  selfLink: 
     
     / api 
     
     / v1 
     
     / namespaces 
     
     / secrets-and-configmaps 
     
     / configmaps 
     
     / mariadb-config
     
     

  uid: c83ccfae-82d2-11e9-832f-005056a1102f
    
    
   
   

保存更改后，确认数据已更新：

   
   

    
    
 
     
     # Note the '.' in max_allowed_packet.cnf needs to be escaped 
     
     

$ kubectl get configmap mariadb-config 
     
     -o 
     
     "jsonpath={.data['max_allowed_packet\.cnf']}" 
     
     


     
     


     
     [ mysqld 
     
     ] 
     
     

max_allowed_packet = 32M
    
    
   
   

使用机密和ConfigMap

Secret和ConfigMap可以作为环境变量或容器中的文件安装。 对于MariaDB容器，您需要将Secrets挂载为环境变量，将ConfigMap挂载为文件。 但是，首先，您需要编写一个MariaDB部署，以便您可以使用。 使用以下命令创建一个名为mariadb-deployment.yaml的文件：

   
   

    
    
 
     
     apiVersion 
     
     :  apps/v1 
     
     

kind 
     
     :  Deployment 
     
     

metadata : 
     
     

  labels : 
     
     

    app 
     
     :  mariadb 
     
     

  name 
     
     :  mariadb-deployment 
     
     

spec : 
     
     

  replicas 
     
     :  1 
     
     

  selector : 
     
     

    matchLabels : 
     
     

      app 
     
     :  mariadb 
     
     

  template : 
     
     

    metadata : 
     
     

      labels : 
     
     

        app 
     
     :  mariadb 
     
     

    spec : 
     
     

      containers : 
     
     

      - name 
     
     :  mariadb 
     
     

        image 
     
     :  docker.io/mariadb:10.4 
     
     

        ports : 
     
     

        - containerPort 
     
     :  3306 
     
     

          protocol 
     
     :  TCP 
     
     

        volumeMounts : 
     
     

        - mountPath 
     
     :  /var/lib/mysql 
     
     

          name 
     
     :  mariadb-volume-1 
     
     

      volumes : 
     
     

      - emptyDir 
     
     :  
     
     { 
     
     } 
     
     

        name 
     
     :  mariadb-volume-1
    
    
   
   

这是来自Docker Hub的正式MariaDB 10.4映像的准系统Kubernetes部署。 现在，添加您的Secrets和ConfigMap。

将Secrets作为环境变量添加到Deployment中

您有两个秘密需要添加到部署中：

1. mariadb-root-password （具有一个键/值对）
2. mariadb-user-creds （具有两个键/值对）

对于MariaDB的根密码的秘密，指定秘密，你想通过添加ENV列表/阵列的部署容器规格，设置环境变量的值在你的秘密的关键值的关键。 在这种情况下，该列表仅包含一个变量MYSQL_ROOT_PASSWORD的条目 。

   
   

    
    
 
     
      env : 
     
     

   - name 
     
     :  MYSQL_ROOT_PASSWORD 
     
     

     valueFrom : 
     
     

       secretKeyRef : 
     
     

         name 
     
     :  mariadb-root-password 
     
     

         key 
     
     :  password
    
    
   
   

请注意，对象的名称是添加到容器的环境变量的名称。 所述valueFrom字段secretKeyRef定义为从该环境变量将被设置在源; 也就是说，它将使用您之前设置的mariadb-root-password Secret中密码密钥中的值。

将本节添加到mariadb-deployment.yaml文件中的mariadb容器定义中。 它看起来应该像这样：

   
   

    
    
 
     
      spec : 
     
     

   containers : 
     
     

   - name 
     
     :  mariadb 
     
     

     image 
     
     :  docker.io/mariadb:10.4 
     
     

     env : 
     
     

       - name 
     
     :  MYSQL_ROOT_PASSWORD 
     
     

         valueFrom : 
     
     

           secretKeyRef : 
     
     

             name 
     
     :  mariadb-root-password 
     
     

             key 
     
     :  password 
     
     

     ports : 
     
     

     - containerPort 
     
     :  3306 
     
     

       protocol 
     
     :  TCP 
     
     

     volumeMounts : 
     
     

     - mountPath 
     
     :  /var/lib/mysql 
     
     

       name 
     
     :  mariadb-volume-1
    
    
   
   

通过这种方式，您已将变量显式设置为Secret中特定键的值。 通过使用configMapRef而不是secretKeyRef，此方法也可以与ConfigMaps一起使用。

您还可以在Secret或ConfigMap中的所有键/值对中设置环境变量，以自动将键名用作环境变量名，并将键的值用作环境变量的值。 通过在容器规范中使用envFrom而不是env ，可以一次性创建先前创建的mariadb-user-creds Secret的MYSQL_USER和MYSQL_PASSWORD ：

   
   

    
    
 
     
     envFrom : 
     
     

- secretRef : 
     
     

    name 
     
     :  mariadb-user-creds
    
    
   
   

envFrom是Kubernetes获取环境变量的来源列表。 再次使用secretRef ，这一次将mariadb-user-creds指定为环境变量的源。 而已！ Secret中的所有键和值将作为环境变量添加到容器中。

容器规格现在应如下所示：

   
   

    
    
 
     
     spec : 
     
     

  containers : 
     
     

  - name 
     
     :  mariadb 
     
     

    image 
     
     :  docker.io/mariadb:10.4 
     
     

    env : 
     
     

      - name 
     
     :  MYSQL_ROOT_PASSWORD 
     
     

        valueFrom : 
     
     

          secretKeyRef : 
     
     

            name 
     
     :  mariadb-root-password 
     
     

            key 
     
     :  password 
     
     

    envFrom : 
     
     

    - secretRef : 
     
     

        name 
     
     :  mariadb-user-creds 
     
     

    ports : 
     
     

    - containerPort 
     
     :  3306 
     
     

      protocol 
     
     :  TCP 
     
     

    volumeMounts : 
     
     

    - mountPath 
     
     :  /var/lib/mysql 
     
     

      name 
     
     :  mariadb-volume-1
    
    
   
   

注意：您可以将mysql-root-password Secret添加到envFrom列表中，并对其进行解析，只要密码密钥名为MYSQL_ROOT_PASSWORD 。 与env一样， 无法使用envFrom手动指定环境变量名称。

将max_allowed_pa​​cket.cnf文件作为volumeMount添加到部署中

如上所述， env和envFrom均可用于与容器共享ConfigMap键/值对。 但是，对于mariadb-config ConfigMap，整个文件都将作为键的值存储，并且该文件必须存在于容器的文件系统中，MariaDB才能使用它。 幸运的是，Secrets和ConfigMaps都可以作为Kubernetes“卷”的来源，并且可以挂载到容器中，而不是使用文件系统或块设备作为要挂载的卷。

mariadb-deployment.yaml已经指定了一个volume和volumeMount，将一个emptyDir （实际上是临时的或临时的）卷安装到/ var / lib / mysql以存储MariaDB数据：

   
   

    
    

     
     < 
     
     ... 
     
     >

 
     
     

  volumeMounts : 
     
     

  - mountPath 
     
     :  /var/lib/mysql 
     
     

    name 
     
     :  mariadb-volume-1
     
     


     
     

< 
     
     ... 
     
     >

 
     
     

volumes : 
     
     

- emptyDir 
     
     :  
     
     { 
     
     } 
     
     

name 
     
     :  mariadb-volume-1
     
     


     
     

< 
     
     ... >
    
    
   
   

注意：这不是生产配置。 当Pod重新启动时， emptyDir卷中的数据将丢失。 这主要用于开发或当卷的内容不需要持久性时使用。

您可以将ConfigMap添加为源，方法是将其添加到卷列表中，然后将其的volumeMount添加到容器定义中：

   
   

    
    

     
     < 
     
     ... 
     
     >

 
     
     

  volumeMounts : 
     
     

  - mountPath 
     
     :  /var/lib/mysql 
     
     

    name 
     
     :  mariadb-volume-1 
     
     

  - mountPath 
     
     :  /etc/mysql/conf.d 
     
     

    name 
     
     :  mariadb-config
     
     


     
     

< 
     
     ... 
     
     >

 
     
     

volumes : 
     
     

- emptyDir 
     
     :  
     
     { 
     
     } 
     
     

  name 
     
     :  mariadb-volume-1 
     
     

- configMap : 
     
     

    name 
     
     :  mariadb-config 
     
     

    items : 
     
     

      - key 
     
     :  max_allowed_packet.cnf 
     
     

        path 
     
     :  max_allowed_packet.cnf 
     
     

  name 
     
     :  mariadb-config-volume
     
     


     
     

< 
     
     ... >
    
    
   
   

该volumeMount是不言自明创建卷装入为MariaDB的-配置容量 （在它下面的卷列表中指定）的路径/etc/mysql/conf.d。

然后，在卷列表中， configMap告诉Kubernetes使用mariadb-config ConfigMap，获取密钥max_allowed_pa​​cket.cnf的内容并将其安装到路径max_allowed_pa​​cked.cnf 。 卷的名称是mariadb-config-volume ，在上面的volumeMounts中引用了该卷 。

注意： configMap的路径是将包含键值内容的文件的名称。 在这种情况下，您的密钥也就是文件名，但不一定必须如此。 还要注意， 项目是一个列表，因此可以引用多个键并将它们的值安装为文件。 这些文件都将在装载路径创建的volumeMount上述规定：/etc/mysql/conf.d。

从部署中创建MariaDB实例

至此，您应该足以创建一个MariaDB实例。 您有两个秘密，一个秘密持有MYSQL_ROOT_PASSWORD ，另一个秘密存储MYSQL_USER ，以及要添加到容器的MYSQL_PASSWORD环境变量。 您还拥有一个ConfigMap，其中包含一个MySQL配置文件的内容，该文件会从其默认设置中覆盖max_allowed_pa​​cked值。

您还具有mariadb-deployment.yaml文件，该文件描述了具有MariaDB容器的Pod的Kubernetes部署，并将Secrets作为环境变量添加，并将ConfigMap作为在容器中卷安装的文件添加。 它看起来应该像这样：

   
   

    
    
 
     
     apiVersion 
     
     :  apps/v1 
     
     

kind 
     
     :  Deployment 
     
     

metadata : 
     
     

  labels : 
     
     

    app 
     
     :  mariadb 
     
     

  name 
     
     :  mariadb-deployment 
     
     

spec : 
     
     

  replicas 
     
     :  1 
     
     

  selector : 
     
     

    matchLabels : 
     
     

      app 
     
     :  mariadb 
     
     

  template : 
     
     

    metadata : 
     
     

      labels : 
     
     

        app 
     
     :  mariadb 
     
     

    spec : 
     
     

      containers : 
     
     

      - image 
     
     :  docker.io/mariadb:10.4 
     
     

        name 
     
     :  mariadb 
     
     

        env : 
     
     

          - name 
     
     :  MYSQL_ROOT_PASSWORD 
     
     

            valueFrom : 
     
     

              secretKeyRef : 
     
     

                name 
     
     :  mariadb-root-password 
     
     

                key 
     
     :  password 
     
     

        envFrom : 
     
     

        - secretRef : 
     
     

            name 
     
     :  mariadb-user-creds 
     
     

        ports : 
     
     

        - containerPort 
     
     :  3306 
     
     

          protocol 
     
     :  TCP 
     
     

        volumeMounts : 
     
     

        - mountPath 
     
     :  /var/lib/mysql 
     
     

          name 
     
     :  mariadb-volume-1 
     
     

        - mountPath 
     
     :  /etc/mysql/conf.d 
     
     

          name 
     
     :  mariadb-config-volume 
     
     

      volumes : 
     
     

      - emptyDir 
     
     :  
     
     { 
     
     } 
     
     

        name 
     
     :  mariadb-volume-1 
     
     

      - configMap : 
     
     

          name 
     
     :  mariadb-config 
     
     

          items : 
     
     

            - key 
     
     :  max_allowed_packet.cnf 
     
     

              path 
     
     :  max_allowed_packet.cnf 
     
     

        name 
     
     :  mariadb-config-volume
    
    
   
   

创建MariaDB实例

使用kubectl create命令从YAML文件创建一个新的MariaDB实例：

   
   

    
    

     
     $ kubectl create 
     
     -f mariadb-deployment.yaml
     
     

deployment.apps 
     
     / mariadb-deployment created
    
    
   
   

创建部署后，请使用kubectl get命令查看正在运行的MariaDB pod：

   
   

    
    

     
     $ kubectl get pods
     
     

NAME                                  READY     STATUS    RESTARTS   AGE
     
     

mariadb-deployment-5465c6655c-7jfqm   
     
     1 
     
     / 
     
     1       Running   
     
     0          3m
    
    
   
   

记下Pod名称（在此示例中，它是mariadb-deployment-5465c6655c-7jfqm ）。 请注意，Pod名称将与此示例不同。

验证实例是否使用Secrets和ConfigMap

使用kubectl exec命令（使用您的Pod名称）来验证Secrets和ConfigMap是否正在使用。 例如，检查环境变量是否在容器中公开：

   
   

    
    

     
     $ kubectl 
     
     exec 
     
     -it mariadb-deployment-5465c6655c-7jfqm 
     
     env 
     
     | 
     
     grep MYSQL
     
     


     
     MYSQL_PASSWORD =kube-still-rocks
     
     


     
     MYSQL_USER =kubeuser
     
     


     
     MYSQL_ROOT_PASSWORD =KubernetesRocks 
     
     ! 
    
    
   
   

成功！ 容器中提供了所有三个环境变量（一个使用env设置来指定Secret， 另一个使用envFrom来安装来自Secret的所有值），这些变量可以在MariaDB中使用。

抽查检查max_allowed_pa​​cket.cnf文件是在/etc/mysql/conf.d中创建的，并且其中包含预期的内容：

   
   

    
    

     
     $ kubectl 
     
     exec 
     
     -it mariadb-deployment-5465c6655c-7jfqm 
     
     ls 
     
     / etc 
     
     / mysql 
     
     / conf.d
     
     

max_allowed_packet.cnf
     
     


     
     

$ kubectl 
     
     exec 
     
     -it mariadb-deployment-5465c6655c-7jfqm 
     
     cat 
     
     / etc 
     
     / mysql 
     
     / conf.d 
     
     / max_allowed_packet.cnf
     
     


     
     [ mysqld 
     
     ] 
     
     

max_allowed_packet = 32M
    
    
   
   

最后，验证MariaDB使用环境变量来设置root用户密码，并读取max_allowed_pa​​cket.cnf文件来设置max_allowed_pa​​cket配置变量。 再次使用kubectl exec命令，这一次是在运行容器中获取一个shell并使用它运行一些mysql命令：

   
   

    
    

     
     $ kubectl 
     
     exec 
     
     -it mariadb-deployment-5465c6655c-7jfqm 
     
     / 
     
     

bin 
     
     / 
     
     sh 
     
     


     
     


     
     # Check that the root password was set correctly 
     
     

$ mysql 
     
     -uroot 
     
     -p 
     
     ${MYSQL_ROOT_PASSWORD} 
     
     -e 
     
     'show databases;' 
     
     

+--------------------+
     
     


     
     | Database           
     
     | 
     
     

+--------------------+
     
     


     
     | information_schema 
     
     | 
     
     


     
     | mysql              
     
     | 
     
     


     
     | performance_schema 
     
     | 
     
     

+--------------------+
     
     


     
     


     
     # Check that the max_allowed_packet.cnf was parsed 
     
     

$ mysql 
     
     -uroot 
     
     -p 
     
     ${MYSQL_ROOT_PASSWORD} 
     
     -e 
     
     "SHOW VARIABLES LIKE 'max_allowed_packet';" 
     
     

+--------------------+----------+
     
     


     
     | Variable_name      
     
     | Value    
     
     | 
     
     

+--------------------+----------+
     
     


     
     | max_allowed_packet 
     
     | 
     
     33554432 
     
     | 
     
     

+--------------------+----------+
    
    
   
   

机密和ConfigMap的优点

本练习说明了如何创建Kubernetes Secrets和ConfigMap以及如何通过将它们作为环境变量或文件添加到正在运行的容器实例内部来使用这些Secrets和ConfigMaps。 这使得将容器的各个实例的配置与容器映像分开保持容易。 通过分离配置数据，可以将开销减少为仅针对特定类型的实例维护单个映像，同时保留了创建具有多种配置的实例的灵活性。

翻译自: https://opensource.com/article/19/6/introduction-kubernetes-secrets-and-configmaps

configmap