Kubernetes 8 （Secret配置管理）

一、Secret简介

Secret 对象类型用来保存敏感信息，例如密码、OAuth 令牌和 ssh key。 敏感信息放在 secret 中比放在 Pod 的定义或者容器镜像中来说更加安全和灵活。

Pod 可以用两种方式使用 secret：
作为 volume 中的文件被挂载到 pod 中的一个或者多个容器里；
当 kubelet 为 pod 拉取镜像时使用；

Secret的类型：
Service Account：Kubernetes 自动创建包含访问 API 凭据的 secret，并自动修改 pod 以使用此类型的 secret；
Opaque：使用base64编码存储信息，可以通过base64 --decode解码获得原始数据，因此安全性弱；
kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。

二、serviceaccout

1、Service Account为Pod中的进程和外部用户提供身份信息。所有的kubernetes集群中账户分为两类，Kubernetes管理的serviceaccount(服务账户)和useraccount（用户账户）；
2、api server集群的入口，对于kunbernetes的api server 是肯定不能随便访问。所以我们需要一些认证信息。
例如：
当用户访问集群（例如使用kubectl命令）时，apiserver 会将您认证为一个特定的 User Account（目前通常是admin，除非您的系统管理员自定义了集群配置）。Pod 容器中的进程也可以与 apiserver 联系。 当它们在联系 apiserver 的时候，它们会被认证为一个特定的 Service Account。

创建时 Kubernetes 会默认创建对应的 secret，对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中；
kubectl run demo --image=myapp:v1 运行一个pod，名为demo;
进入demo查看，ServiceAccount里有一个名为Tokens的可以作为Volume一样被Mount到Pod里的Secret，当Pod启动时这个Secret会被自动Mount到Pod的指定目录下，用来协助完成Pod中的进程访问API Server时的身份鉴权过程。

每个namespace下有一个名为default的默认的ServiceAccount对象

三、Opaque Secret 类型

1.从文件中创建secret

Opaque Secret 其value为base64编码后的值

在configmap目录下创建并编写username和password文本文件；

用文件创建secret，查看到新创建的db-user-pass

默认情况下 kubectl get和kubectldescribe 为了安全不会显示密码的内容，可以通过以下方式查看；
可以看到用户和密码是经过base64编码后的密文

使用-d参数就可以解码

2.使用yaml文件创建secret

编辑secret.yaml文件，编写一个 secret 对象
创建mysecret

查看详细信息

3.将Secret挂载到Volume中

修改secret.yaml文件，将mysecret数据挂载到pod名为mysecret的/secret目录下，设置为只读
应用配置

查看pod信息，可以看到mysecret被创建

连接到mysecret容器，切换到secret目录下，可以看到两个文本文件

4.向指定路径映射 secret 密钥

删除之前创建的mysecret这个pod

继续编辑secret.yaml文件，指定key为username，其值为指定路径/secret/my-group/my-username

应用配置，可以看到mysecret被创建，连接到mysecret切换到mygroup目录，可以看到my-username的内容

5.将Secret设置为环境变量

修改secret.yaml文件，为pod设置环境变量；
env: 设置环境变量
valueFrom: 把mysecret中的username这个key值取出来，作为SECRET_USERNAME变量
valueFrom: 把mysecret中的password这个key值取出来，作为SECRET_PASSWORD变量

应用配置，可以看到secret-env内被创建

连接到该容器，查看环境变量，可以看到刚才配置的SECRET_USERNAME变量和SECRET_USERNAME变量


将redhat输出为base64编码

然后进入mysecret编辑，修改密码为redhat

再次进入secret-env，查看环境变量，还是westos，没有改变；
说明环境变量读取Secret很方便，但无法支撑Secret动态更新，即修改yaml文件后，容器内无法及时更改

四、kubernetes.io/dockerconfigjson

kubernetes.io/dockerconfigjson用于存储docker registry的认证信息；
创建myregistrykey，通过命令参数指定仓库名字、用户名和密码

将westos仓库设置为私有，这样就需要用户名和密码

编辑registry.yaml文件，配置镜像地址；
应用配置文件

查看pod信息，看到mypod没有运行成功，这是因为仓库权限问题

修改registry.yaml文件，加上仓库secret认证信息

删除之前的mypod，重新创建

此时pod状态是running

已经成功拉取到镜像


查看ServiceAccount详细信息