目录
一、Secret简介
Secret 对象类型用来保存敏感信息,例如密码、OAuth 令牌和 ssh key。 敏感信息放在 secret 中比放在 Pod 的定义或者容器镜像中来说更加安全和灵活。
Pod 可以用两种方式使用 secret:
作为 volume 中的文件被挂载到 pod 中的一个或者多个容器里;
当 kubelet 为 pod 拉取镜像时使用;
Secret的类型:
Service Account:Kubernetes 自动创建包含访问 API 凭据的 secret,并自动修改 pod 以使用此类型的 secret;
Opaque:使用base64编码存储信息,可以通过base64 --decode解码获得原始数据,因此安全性弱;
kubernetes.io/dockerconfigjson:用于存储docker registry的认证信息。
二、serviceaccout
1、Service Account为Pod中的进程和外部用户提供身份信息。所有的kubernetes集群中账户分为两类,Kubernetes管理的serviceaccount(服务账户)和useraccount(用户账户);
2、api server集群的入口,对于kunbernetes的api server 是肯定不能随便访问。所以我们需要一些认证信息。
例如:
当用户访问集群(例如使用kubectl命令)时,apiserver 会将您认证为一个特定的 User Account(目前通常是admin,除非您的系统管理员自定义了集群配置)。Pod 容器中的进程也可以与 apiserver 联系。 当它们在联系 apiserver 的时候,它们会被认证为一个特定的 Service Account。
创建时 Kubernetes 会默认创建对应的 secret,对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中;
kubectl run demo --image=myapp:v1 运行一个pod,名为demo;
进入demo查看,ServiceAccount里有一个名为Tokens的可以作为Volume一样被Mount到Pod里的Secret,当Pod启动时这个Secret会被自动Mount到Pod的指定目录下,用来协助完成Pod中的进程访问API Server时的身份鉴权过程。
每个namespace下有一个名为default的默认的ServiceAccount对象
三、Opaque Secret 类型
1.从文件中创建secret
Opaque Secret 其value为base64编码后的值
在configmap目录下创建并编写username和password文本文件;
用文件创建secret,查看到新创建的db-user-pass
默认情况下 kubectl get和kubectldescribe 为了安全不会显示密码的内容,可以通过以下方式查看;
可以看到用户和密码是经过base64编码后的密文
使用-d参数就可以解码
2.使用yaml文件创建secret
编辑secret.yaml文件,编写一个 secret 对象
创建mysecret
查看详细信息
3.将Secret挂载到Volume中
修改secret.yaml文件,将mysecret数据挂载到pod名为mysecret的/secret目录下,设置为只读
应用配置
查看pod信息,可以看到mysecret被创建
连接到mysecret容器,切换到secret目录下,可以看到两个文本文件
4.向指定路径映射 secret 密钥
删除之前创建的mysecret这个pod
继续编辑secret.yaml文件,指定key为username,其值为指定路径/secret/my-group/my-username
应用配置,可以看到mysecret被创建,连接到mysecret切换到mygroup目录,可以看到my-username的内容
5.将Secret设置为环境变量
修改secret.yaml文件,为pod设置环境变量;
env: 设置环境变量
valueFrom: 把mysecret中的username这个key值取出来,作为SECRET_USERNAME变量
valueFrom: 把mysecret中的password这个key值取出来,作为SECRET_PASSWORD变量
应用配置,可以看到secret-env内被创建
连接到该容器,查看环境变量,可以看到刚才配置的SECRET_USERNAME变量和SECRET_USERNAME变量
将redhat输出为base64编码
然后进入mysecret编辑,修改密码为redhat
再次进入secret-env,查看环境变量,还是westos,没有改变;
说明环境变量读取Secret很方便,但无法支撑Secret动态更新,即修改yaml文件后,容器内无法及时更改
四、kubernetes.io/dockerconfigjson
kubernetes.io/dockerconfigjson用于存储docker registry的认证信息;
创建myregistrykey,通过命令参数指定仓库名字、用户名和密码
将westos仓库设置为私有,这样就需要用户名和密码
编辑registry.yaml文件,配置镜像地址;
应用配置文件
查看pod信息,看到mypod没有运行成功,这是因为仓库权限问题
修改registry.yaml文件,加上仓库secret认证信息
删除之前的mypod,重新创建
此时pod状态是running
已经成功拉取到镜像
查看ServiceAccount详细信息