K8S学习----存储Secret/volume

学习目标：

1、掌握secret
2、学会volume卷的挂载

学习内容：

Secret存在意义

secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中，Secret可以以Volume或者环境变量的方式使用

Secret有三种类型：

1. Service Account：用来访问kubernetes API，有kubernetes自动创建，并且会自动挂载到Pod的/run/secrets/kunernetes.io/serviceaccount目录中
2. Opaque：base64编码格式的Secret，用来存储密码、密钥等
3. kubernetes.io/dockerconfigjson：用来存储私有docker registry的认证信息

Service Account

Opaque Secret

1. 创建说明
   opaque类型的数据是一个map类型，要求value是base64编码格式

[root@paas-core01 paas]# echo -n  "admin" | base64
YWRtaW4=
[root@paas-core01 paas]# echo -n "1f2d1e2e67df" | base64
MWYyZDFlMmU2N2Rm

Secret.yaml

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  password: MWYyZDFlMmU2N2Rm
  username: YWRtaW4=

2. 使用方式
   将Secret挂载到Volume中

apiVersion: v1
kind: Pod
metadata:
  labels:
    name: secret-test
  name: secret-test
spec:
  volumes:
    - name: secrets
      secret:
        secretName: mysecret
  containers:
   - image: hub.atguigu.com/library/myapp:v1
     name: db
     volumeMounts:
       - name: secrets
         mountPath: "/etc/secrets"
         readOnly: true

将Secret导出到环境变量中

apiVsersion: extensions/v1beta1
kind: Deployment
metadata:
  name: pod-deployment
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: pod-deployment
    spec:
      containers:
      - name: pod-1
        image: hub.atguigu.com/library/myapp:v1
        ports:
        - containerPort: 80
        env:
        - name: TEST_USER
          valumeFrom:
            secretKeyRef:
              name: mysecret
              key: username
        -name: TEST_PASSWORD
          valumeFrom:
            secretKeyRef:
              name: mysecret
              key: password

3. kubernetes.io/dockerconfigjson
   使用kubectl创建docker registry认证的secret

$ kubectl create secret docker-registry myregistryKey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL 
secret "*****" created

在创建Pod的时候，通过imagePullSecrets来引用刚刚创建的myregistryKey

apiVersion: v1
kind: Pod
metadata:
  name: foo
spec:
  containers:
    - name: foo
      image: myapp:v1
  imagePullSecrets:
    - name: myregistryKey

Volume

容器磁盘上的文件的生命周期是短暂的，这就使得在容器中运行重要应用时会出现一些问题。首先，当容器崩溃时，kubelet会重启它，但是容器中的文件将丢失—容器以干净的状态（镜像最初的状态）重新启动，其次，在Pod中同时运行多个容器时，这些容器之间通常需要共享文件，Kubernetes中的volume抽象就很好的解决了这些问题

背景

kubernetes中的卷有明确的寿命----与封装它的Pod相同，所以，卷的生命比Pod中的所有容器都长，当这个容器重启时数据任然得以保存，当然，当Pod不再存在时，卷也将不再存在，kubernetes支持多种类型的卷，Pod可以使用任意数量的卷

卷的类型

1. emptyDir
   当Pod被分配给节点时，首先创建emptyDir卷，并且只要该Pod在该节点上运行，该卷就会存在。正如卷的名字所述，它最初是空的，Pod中的容器可以读取和写入emptyDir卷中的相同文件，尽管该卷可以挂载到每个容器中的相同或不同路径上。当出于任何原因从节点删除Pod时，emptyDir中的数据将永久删除
   ##注意：容器崩溃不会从节点中移除pod，因此emptyDir卷中的数据在容器崩溃时是安全的##

empthDir的用法有：

• 暂存空间，例如用于磁盘的合并排序
• 用作长时间计算崩溃恢复时的检查点
• web服务器容器提供数据时，保存内容管理器容器提取的文件

apiVersion: v1
kind: Pod
metadata:
  name: test-pd
spec:
  containers:
  - image: k8s.gcr.io/test-webserver
    name: test-container
    volumeMounts:
    - mountPath: /cache
      name: cache-volume
  volumes:
  - name: cache-volume
    empthDir: {}

2. hostPath
   hostPath卷将主机节点的文件系统中的文件或目录挂载到集群中

hostPath的用途如下：

• 运行需要访问docker内部的容器，使用/var/lib/docker的hostPath
• 在容器中运行cAdvisor，使用/dev/cgroups的hostPath

除了所需的path属性之外，用户还可以为hostPath卷指定type

使用这些卷类型时请注意，因为：

• 由于每个节点上的文件都不同，具有相同配置（例如从podTemplate创建的）的pod在不同节点上的行为可能会有所不同
• 当kubernetes按照计划添加资源感知调度时，将无法考虑hostpath使用的资源
• 在底层主机上创建的文件或目录只能由root写入，你需要在特权容器中以root身份运行进程，或修改主机上的文件权限以便写入hostpath卷

apiVersion: v1
kind: Pod
metadata:
  name: test-pd
spec:
  containers:
  - images: k8s.grc.io/test-webserver
    name: test-container
    volumeMounts:
    - mountPath: /test-pd
      name: test-volume
  volumes:
  - name: test-volume
    hostPath:
      path: /data
      type: Directory