本篇已加入《.NET Core on K8S学习实践系列文章索引》,可以点击查看更多容器化技术相关系列文章。
01
—
Secret
关于Secret
在应用启动过程中需要一些敏感信息,比如数据库用户名、密码,如果直接明文存储在容器镜像中是不安全的,K8S提供的方案是Secret。
Secret 会以密文的方式存储数据,避免了直接在配置文件中保存敏感信息。
Secret 会以 Volume 的形式被 mount 到 Pod,容器可通过文件的方式使用 Secret 中的敏感数据,也可以使用环境变量的方式使用。
创建与查看Secret
这里假设我们要创建一个包含以下信息的Secret:
(1)用户名:Edison
(2)密码:EDC123456*
有4种方法来创建Secret:
(1)通过 --from-literal:
kubectl create secret generic mysecret --from-literal=username=Edison --from-literal=password=EDC123456*
PS:每个 --from-literal
对应一个信息条目
(2)通过 --from-file:
echo -n Edison > ./username
echo -n EDC123456* > ./password
kubectl create secret generic mysecret --from-file=./username --from-file=./password
PS:每个文件内容对应一个信息条目
(3)通过 --from-env-file:
cat << EOF > env.txt
username=Edison
password=EDC123456*
EOF
kubectl create secret generic mysecret --from-env-file=env.txt
PS:文件 env.txt
中每行 Key=Value 对应一个信息条目
(4)通过YAML配置文件创建:(推荐方式)
由于配置文件中的敏感数据必须是通过base64编码后的结果,因此需要获取base64编码后的值:
下面就是这个YAML文件的内容:
apiVersion: v1
kind: Secret
metadata:
name: edc-secret
data:
username: RWRpc29u
password: RURDMTIzNDU2Kg==
通过kubectl apply来创建Secret:
创建成功后,验证一下,查看一下这个Secret:
kubectl get secret edc-secret // 查看存在的secret
kubectl describe secret edc-secret // 查看条目的Key
kubectl edit secret edc-secret // 查看条目的Value
将Value进行base64反编码,如下所示,与预期一致:
在Pod中使用Secret
K8S中Pod中使用Secret有两种方式,一是Volume方式,二是环境变量的方式。
(1)Volume方式
这里我们以一个示例演示一下如何通过Volume方式使用Secret,首先定义一个Pod:
apiVersion: v1
kind: Pod
metadata:
name: secret-demo
spec:
containers:
- name: secret-demo-pod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
volumeMounts:
- name: foo
mountPath: "/etc/foo"
readOnly: true
volumes:
- name: foo
secret:
secretName: edc-secret
该Pod中会使用到刚刚定义的secret(edc-secret),然后volumeMounts定义了将foo mount到容器中的路径为/etc/foo的目录下,并且指定了读写权限为只读。
通过kubectl apply创建之后,我们试着在容器中读取secret来验证一下,如下图所示:
可以看到,K8S为每条敏感数据创建了一个文件,而且其Value是以明文存放的。
当然,你也可以自定义存放数据的目录,如下配置所示:
apiVersion: v1
kind: Pod
metadata:
name: secret-demo
spec:
containers:
- name: secret-demo-pod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
volumeMounts:
- name: foo
mountPath: "/etc/foo"
readOnly: true
volumes:
- name: foo
secret:
secretName: edc-secret
items:
- key: username
path: /edc-group/username
- key: password
path: /edc-group/password
这时,该secret就会存放于/etc/foo/edc-group/username 和 /etc/foo/edc-group/password 两个目录下了。
(2)动态更新
以Volume方式使用Secret,其中一个优点就是支持动态更新。例如,我们将Secret更新一下,重新应用到K8S中:
apiVersion: v1
kind: Secret
metadata:
name: edc-secret
data:
username: RWRpc29u
password: YWJjZGVmZyo= // 换为了 abcdefg*
通过kubectl apply重新应用之后,等待一段时间后,再次进入容器中验证:
已经改为了 abcdefg*,符合预期。
(2)环境变量方式
通过Volume使用Secret看起来稍微麻烦了一点,容器必须通过文件读取数据。K8S提供了另外一种方式,那就是环境变量方式。
下面仍以上面的例子为例,修改配置文件:
apiVersion: v1
kind: Pod
metadata:
name: secret-demo
spec:
containers:
- name: secret-demo-pod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
env:
- name: EDC_SECRET_USERNAME
valueFrom:
secretKeyRef:
name: edc-secret
key: username
- name: EDC_SECRET_PASSWORD
valueFrom:
secretKeyRef:
name: edc-secret
key: password
通过kubectl apply应用之后,进入容器验证一下:
可以看到,可以方便地通过环境变量获取到Value。
PS:需要注意的也是,虽然通过环境变量读取Secret比较方便,但是无法支持Secret动态更新!
02
—
Configmap
关于Configmap
上面提到的Secret可以为Pod提供机密数据的存储,而对于一些非机密敏感的数据,像一些应用的配置信息啊神马的,则可以使用Configmap。
Configmap的创建与使用方式与Secret非常类似,不同点只在于数据以明文形式存放(不过,我觉得Secret的密文形式也并不密文,只能算得上是简单编码)。
创建Configmap
和Secret一样,可以通过 --from-literal,--from-file 和 --from-env-file来创建,这里我们跳过,直接说下我们最常用的yaml配置文件的方式。
apiVersion: v1
kind: ConfigMap
metadata:
name: service-configmap
data:
LogLevel: Error
LogFile: service-timestamp.log
AllowedHosts: edc.com
使用Configmap
和Secret一样,也可以通过Volume 或 环境变量两种方式来使用Configmap。
(1)Volume方式
apiVersion: v1
kind: Pod
metadata:
name: configmap-demo
spec:
containers:
- name: configmap-demo-pod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
volumeMounts:
- name: foo
mountPath: "/etc/foo"
readOnly: true
volumes:
- name: foo
configMap:
name: service-configmap
(2)环境变量方式
apiVersion: v1
kind: Pod
metadata:
name: secret-demo
spec:
containers:
- name: secret-demo-pod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
env:
- name: SERVICE_LOG_LEVEL
valueFrom:
configMapKeyRef:
name: service-configmap
key: LogLevel
- name: SERVICE_LOG_FILE
valueFrom:
configMapKeyRef:
name: service-configmap
key: LogFile
- name: SERVICE_ALLOWED_HOSTS
valueFrom:
configMapKeyRef:
name: service-configmap
key: AllowedHosts
最佳实践
大多数情况下,大家建议的最佳实践是:
(1)创建ConfigMap采用YAML配置方式 => 便于复用和版本管理
(2)读取ConfigMap采用Volume方式 => 便于配置动态更新
下面我们创建一个Configmap,其YAML内容如下:
apiVersion: v1
kind: ConfigMap
metadata:
name: service-configmap
data:
appsettings.json: |
LogHandler: NLogHandler
LogLevel: Error
LogFile: %hostname-%timestamp.log
这里注意别忘了:后面的 | 符号,然后创建&查看Configmap:
如果想要在Pod中使用此Configmap,可以在YAML配置如下:
apiVersion: v1
kind: Pod
metadata:
name: configmap-demo
spec:
containers:
- name: configmap-demo-pod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
volumeMounts:
- name: configmap
mountPath: "/etc/configmap"
volumes:
- name: configmap
configMap:
name: service-configmap
items:
- key: appsettings.json
path: appsettings.json
这里将Volume mount到了容器的 /etc/configmap 目录中,下面我们验证一下:
这时我们将configmap更新一下,如下:
apiVersion: v1
kind: ConfigMap
metadata:
name: service-configmap
data:
appsettings.json: |
Logging:
LogLevel:
Default: "Error"
AllowedHosts: "*"
通过kubectl apply更新一下configmap,然后再到pod中验证是否动态更新:
可以看出,已经动态更新,符合预期!
03
—
小结
本文探索了在K8S中如何进行配置管理,如果需要密文配置,可以使用Secret,如果是一般应用配置,可以使用ConfigMap。虽然Secret和ConfigMap都定义了好几种定义方式,但是我们一般采用YAML配置创建和Volume方式读取,因为Volume方式可以支持动态更新。
参考资料:
(1)CloudMan,《每天5分钟玩转Kubernetes》
(2)李振良,《一天入门Kubernets教程》
(3)马哥(马永亮),《Kubernetes快速入门》
(4)benjamin杨,《K8S通过Secret管理敏感信息》
(5)伊凡的一天,《K8S对象之Secret》
恰童鞋骚年,风华也许不再正茂,但却仍想挥斥方遒。本公众号会长期关注和分享.NET Core,Microservice,Docker,Kubernetes,CI(持续集成)等技术内容文章,还会与你分享个人生活成长的点滴及各类好书的读书笔记,希望能对你有所帮助,一起成长!
微信ID:edisonchou7
你点的每个赞,我都认真当成了喜欢