kubernetes存储(二)——Secret配置管理+应用+挂载+映射 secret 密钥+Secret定义为环境变量

一、secret的介绍
Secret 对象类型用来保存敏感信息，例如密码、OAuth 令牌和 ssh key。
敏感信息放在 secret 中比放在 Pod 的定义或者容器镜像中来说更加安全和灵活。
Pod 可以用两种方式使用 secret：

作为 volume 中的文件被挂载到 pod 中的一个或者多个容器里。
当 kubelet 为 pod 拉取镜像时使用。

Secret的类型：
Service Account：Kubernetes 自动创建包含访问 API 凭据的 secret，并自动修改 pod 以使用此类型的 secret。
Opaque：使用base64编码存储信息，可以通过base64 --decode解码获得原始数据，因此安全性弱。
kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。
二、serviceaccout 创建
2.1serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。
每个namespace下有一个名为default的默认的ServiceAccount对象

[root@server2 cm]# kubectl get sa
NAME      SECRETS   AGE
default   1         36h

ServiceAccount里有一个名为Tokens的可以作为Volume一样被Mount到Pod里的Secret，当Pod启动时这个Secret会被自动Mount到Pod的指定目录下，用来协助完成Pod中的进程访问API Server时的身份鉴权过程。
2.2从文件中创建Secret

分别创建两个名为username.txt和password.txt的文件
echo -n 'admin' > ./username.txt
echo -n 'westos' > ./password.txt

如果密码具有特殊字符，则需要使用 \ 字符对其进行转义，执行以下命令：

 kubectl create secret generic dev-db-secret --from-literal=username=devuser --from-literal=password=S\!B\\*d\$zDsb

默认情况下 kubectl get和kubectl describe 为了安全是不会显示密码的内容
2.3编写一个 secret 对象

[root@server2 cm]# echo -n 'admin' | base64  用户
YWRtaW4=
[root@server2 cm]# echo -n 'westos' | base64  密码
d2VzdG9z

[root@server2 cm]# echo -n 'YWRtaW4=' | base64 -d   解码
admin

[root@server2 cm]# vim cm2.yaml

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
  password: d2VzdG9z

三、secret的应用
3.1将Secret挂载到Volume中

[root@server2 cm]# vim cm2.yaml 
apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=  用户
  password: d2VzdG9z  密码

---
apiVersion: v1
kind: Pod
metadata:
  name: mysecret
spec:
  containers:
  - name: nginx
    image: nginx
    volumeMounts:
    - name: secrets
      mountPath: "/secret"
      readOnly: true
  volumes:
  - name: secrets
    secret:
      secretName: mysecret

[root@server2 cm]# kubectl apply -f cm2.yaml 
secret/mysecret unchanged
pod/mysecret created
[root@server2 cm]# kubectl get pod
NAME                       READY   STATUS              RESTARTS   AGE
my-nginx-6bcb6dc97-r4cjw   1/1     Running             0          8h
mysecret                   0/1     ContainerCreating   0          3s
[root@server2 cm]# kubectl get pod
NAME                       READY   STATUS    RESTARTS   AGE
my-nginx-6bcb6dc97-r4cjw   1/1     Running   0          8h
mysecret                   1/1     Running   0          6s

[root@server2 cm]# kubectl exec mysecret --  ls /secret
password
username
[root@server2 cm]# kubectl exec mysecret -- cat /secret/password
westos
[root@server2 cm]# kubectl exec mysecret -- cat /secret/username
admin

3.2向指定路径映射 secret 密钥

[root@server2 cm]# vim cm2.yaml 

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
  password: d2VzdG9z

---
apiVersion: v1
kind: Pod
metadata:
  name: mysecret
spec:
  containers:
  - name: nginx
    image: nginx
    volumeMounts:
    - name: secrets
      mountPath: "/secret"   一个base
      readOnly: true
  volumes:
  - name: secrets
    secret:
      secretName: mysecret
      items:  指定挂载路径
      - key: username  
        path: my-group/my-username  把username挂载到此目录
                                     （名称自定义）向指定路径映射 secret 密钥

[root@server2 cm]# kubectl apply -f cm2.yaml 
secret/mysecret created
pod/mysecret created
[root@server2 cm]# kubectl get pod
NAME       READY   STATUS    RESTARTS   AGE
mysecret   1/1     Running   0          5s
查看用户
[root@server2 cm]#  kubectl exec mysecret -- cat /secret/my-group/my-username 
admin

3.3将Secret设置为环境变量

 vim cm2.yaml 
 
apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
  password: d2VzdG9z

---
apiVersion: v1
kind: Pod
metadata:
  name: secret-env
spec:
  containers:
  - name: nginx
    image: nginx
    env:
      - name: SECRET_USERNAME   指定变量（将Secret设置为环境变量）
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: username
      - name: SECRET_PASSWORD   将Secret设置为环境变量
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: password

[root@server2 cm]# kubectl apply -f cm2.yaml 
secret/mysecret created
pod/secret-env created
[root@server2 cm]# kubectl get pod
NAME         READY   STATUS    RESTARTS   AGE
mysecret     1/1     Running   0          2m57s
secret-env   1/1     Running   0          32s
[root@server2 cm]# kubectl exec secret-env -- env
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
HOSTNAME=secret-env
SECRET_USERNAME=admin   用户
SECRET_PASSWORD=westos   密码
KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
KUBERNETES_SERVICE_HOST=10.96.0.1
KUBERNETES_SERVICE_PORT=443
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_PORT=tcp://10.96.0.1:443
KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
KUBERNETES_PORT_443_TCP_PROTO=tcp
KUBERNETES_PORT_443_TCP_PORT=443
NGINX_VERSION=1.13.9-1~stretch
NJS_VERSION=1.13.9.0.1.15-1~stretch
HOME=/root

环境变量读取Secret很方便，但无法支撑Secret动态更新

[root@server2 ~]# kubectl get secrets 
NAME                  TYPE                                  DATA   AGE
default-token-gq7ls   kubernetes.io/service-account-token   3      16h
myregistrykey         kubernetes.io/dockerconfigjson        1      9h

kubernetes.io/dockerconfigjson   用于存储docker registry的认证信息

harbor仓库中有一个私有项目里面有个镜像如下图所示
对于私有仓库的拉取，需要登录认证否则无法成功拉取，登录认证信息存放在主机上（.docker/config.json）有安全隐患。

设置pod所需的镜像到secret卷里面自动拉取

参数详解：
kubectl create secret docker-registry：  创建与Docker registry一起使用的secret。
myregistrykey  ：自定义secret名称
Docker secret用于对Docker registry进行安全认证;
当使用Docker命令push镜像时，可以进行Docker registries认证.
[root@server2 cm]# kubectl create secret docker-registry myregistrykey  \ 创建secret
--docker-server=reg.westos.org \  指定仓库地址
--docker-username=admin \  认证用户
--docker-password=westos \  认证密码
--docker-email=yakexi007@westos.org   邮箱

 vim cm cm3.yaml
 
apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
    - name: game2048
      image: reg.westos.org/westos/game2048  指定镜像拉取路径
  imagePullSecrets:   镜像在拉取时的secret
    - name: myregistrykey       secret名称

 [root@server2 cm]# kubectl get pod
NAME       READY   STATUS    RESTARTS   AGE
mypod      1/1     Running   0          5s

 [root@server2 cm]# kubectl describe pod mypod   镜像成功拉取