企业项目实战k8s篇（九）Secret配置管理

一.Secret概述

Secret 对象类型用来保存敏感信息，例如密码、OAuth 令牌和 ssh key。

敏感信息放在 secret 中比放在 Pod 的定义或者容器镜像中来说更加安全和灵活。

Pod 可以用两种方式使用 secret：

• 作为 volume 中的文件被挂载到 pod 中的一个或者多个容器里。

• 当 kubelet 为 pod 拉取镜像时使用。

Secret的类型：

• Service Account：Kubernetes 自动创建包含访问 API 凭据的 secret，并自动修改 pod 以使用此类型的 secret。

• Opaque：使用base64编码存储信息，可以通过base64 --decode解码获得原始数据，因此安全性弱。

• kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。

二.Service Account

serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。

[root@server1 secret]# kubectl  run nginx --image=nginx
pod/nginx created
[root@server1 secret]# kubectl  exec -it   nginx  -- bash
root@nginx:/# cd /var/run/secrets/kubernetes.io/serviceaccount/

root@nginx:/var/run/secrets/kubernetes.io/serviceaccount# ls
ca.crt	namespace  token

每个namespace下有一个名为default的默认的ServiceAccount对象

[root@server1 ingress]# kubectl  get secrets 
NAME                  TYPE                                  DATA   AGE
default-token-t5dst   kubernetes.io/service-account-token   3      6d3h

ServiceAccount里有一个名为Tokens的可以作为Volume一样被Mount到Pod里的Secret，当Pod启动时这个Secret会被自动Mount到Pod的指定目录下，用来协助完成Pod中的进程访问API Server时的身份鉴权过程。

 kubectl get pod -o yaml

  volumeMounts:
  - mountPath: /etc/nginx/conf.d
    name: config-volume
  - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
    name: kube-api-access-rttrg
    readOnly: true

三.Opaque Secret

Opaque Secret 其value为base64编码后的值。

从文件中创建Secret

echo -n 'admin' > ./username.txt
echo -n 'westos' > ./password.txt

 kubectl create secret generic db-user-pass --from-file=./username.txt --from-file=./password.txt
secret/db-user-pass created

kubectl get secrets

NAME                  TYPE                                  DATA   AGE
db-user-pass          Opaque                                2      5s

如果密码具有特殊字符，则需要使用 \ 字符对其进行转义，执行以下命令

[root@server1 secret]# kubectl create secret generic dev-db-secret --from-literal=username=devuser --from-literal=password=S\!B\\*d\$zDsb
secret/dev-db-secret created

默认情况下 kubectl get和kubectl describe 为了安全是不会显示密码的内容,可以通过以下方式查看：

[root@server1 secret]# kubectl get secrets dev-db-secret -o yaml
apiVersion: v1
data:
  password: UyFCXCpkJHpEc2I=
  username: ZGV2dXNlcg==
kind: Secret
metadata:
  creationTimestamp: "2021-07-30T06:52:16Z"
  name: dev-db-secret
  namespace: default
  resourceVersion: "221156"
  uid: 9ab47acb-131d-491f-a91e-a781940a52ed
type: Opaque
[root@server1 secret]# echo UyFCXCpkJHpEc2I= | base64 -d
S!B\*d$zDsb
[root@server1 secret]# 
[root@server1 secret]# echo ZGV2dXNlcg== | base64 -d

四.secret应用

1.创建secret

[root@server1 secret]# echo -n 'admin' | base64
YWRtaW4=
[root@server1 secret]# echo -n 'westos' | base64
d2VzdG9z
[root@server1 secret]# vim mysecret.yaml
[root@server1 secret]# kubectl  apply  -f mysecret.yaml 
secret/mysecret created
[root@server1 secret]# kubectl  get secrets 
NAME                  TYPE                                  DATA   AGE
basic-auth            Opaque                                1      3h52m
default-token-t5dst   kubernetes.io/service-account-token   3      5d20h
mysecret              Opaque                                2      6s
tls-secret            kubernetes.io/tls                     2      4h3m

2.将Secret挂载到Volume中

[root@server1 secret]# cat vlo.yaml 
    apiVersion: v1
    kind: Pod
    metadata:
      name: mysecret
    spec:
      containers:
    
      - name: nginx
        image: nginx
        volumeMounts:
        - name: secrets
          mountPath: "/secret"
          readOnly: true
          volumes:
      - name: secrets
        secret:
          secretName: mysecret
        [root@server1 secret]# kubectl  apply  -f vlo.yaml 
        pod/mysecret created
        [root@server1 secret]# kubectl  get pod
        NAME                                READY   STATUS    RESTARTS   AGE
        my-nginx-6b67dc79c9-zrbcz           1/1     Running   0          118m
        myapp-deployment-67f8c948cf-45h6n   1/1     Running   1          29h
        myapp-deployment-67f8c948cf-hq9xg   1/1     Running   1          29h
        myapp-deployment-67f8c948cf-rr9bz   1/1     Running   1          29h
        mysecret                            1/1     Running   0          8s
        nginx-deployment-6456d7c676-8jsrd   1/1     Running   3          46h
        nginx-deployment-6456d7c676-bcx9b   1/1     Running   3          46h
        nginx-deployment-6456d7c676-kwqfr   1/1     Running   3          46h

​ 查看volume下的password文件

[root@server1 secret]# kubectl exec mysecret cat  /secret/password
westos

3.向指定路径映射 secret 密钥

指定路径/secret/my-group/my-username

[root@server1 secret]# cat path.yaml 
apiVersion: v1
kind: Pod
metadata:
  name: mysecret
spec:
  containers:
  - name: nginx
    image: nginx
    volumeMounts:
    - name: secrets
      mountPath: "/secret"
      readOnly: true
  volumes:
  - name: secrets
    secret:
      secretName: mysecret
      items:
      - key: username
        path: my-group/my-username

[root@server1 secret]# kubectl  apply  -f path.yaml 
pod/mysecret created
[root@server1 secret]# kubectl exec mysecret cat /secret/my-group/my-username

admin

[root@server1 secret]# 

4.将Secret设置为环境变量

apiVersion: v1
kind: Pod
metadata:
  name: secret-env
spec:
  containers:
  - name: nginx
    image: nginx
    env:
      - name: SECRET_USERNAME
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: username
      - name: SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: password

五.docker registry

#kubernetes.io/dockerconfigjson用于存储docker registry的认证信息

kubectl create secret docker-registry myregistrykey --docker-server=reg.westos.org --docker-username=admin --docker-password=westos --docker-email=root@westos.org

未公开仓库，在拉取仓库时，无secret信息则无法拉取

[root@server1 secret]# cat mypod.yml 
apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
    - name: nginx
      image: reg.westos.org/westos/nginx
  #imagePullSecrets:

  #  - name: myregistrykey

[root@server1 secret]# kubectl  apply  -f mypod.yml 
pod/mypod created
[root@server1 secret]# kubectl  get pod
NAME                                READY   STATUS             RESTARTS   AGE
mypod                               0/1     ImagePullBackOff   0          4s

添加secrect认证

[root@server1 secret]# cat mypod.yml 
apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
    - name: nginx
      image: reg.westos.org/westos/nginx
  imagePullSecrets:

    - name: myregistrykey

拉取成功

[root@server1 secret]# kubectl  apply  -f mypod.yml 
pod/mypod created
[root@server1 secret]# kubectl  get pod
NAME                                READY   STATUS      RESTARTS   AGE
mypod                               1/1     Running     0          14s