18、Secret
阿新 • • 發佈:2020-08-01
Secret 存在意義
Secret 解決了密碼、token、金鑰等敏感資料的配置問題,而不需要把這些敏感資料暴露到映象或者 Pod Spec中。Secret 可以以 Volume 或者環境變數的方式使用。
Secret 有三種類型:
- Service Account:用來訪問 Kubernetes API,由 Kubernetes 自動建立,並且會自動掛載到 Pod 的/run/secrets/kubernetes.io/serviceaccount目錄中
- Opaque:base64編碼格式的Secret,用來儲存密碼、金鑰等
- kubernetes.io/dockerconfigjson:用來儲存私有 docker registry 的認證資訊
Service Account
Service Account 用來訪問 Kubernetes API,由 Kubernetes 自動建立,並且會自動掛載到 Pod的/run/secrets/kubernetes.io/serviceaccount目錄中
$ kubectl run nginx --image hub.hlc.com/library/myapp:v1 pod/nginx created $ kubectl get pods NAME READY STATUS RESTARTS AGE testnuinx 1/1 Running 0 105s $ kubectl exec nginx-- ls /run/secrets/kubernetes.io/serviceaccount ca.crt namespace token
Opaque Secret
I、建立說明
Opaque 型別的資料是一個 map 型別,要求 value 是 base64 編碼格式:
$ echo-n"admin" | base64 YWRtaW4= $ echo-n"1f2d1e2e67df" | base64 MWYyZDFlMmU2N2Rm
secrets.yml
apiVersion: v1 kind: Secret metadata: name: mysecret data: password: MWYyZDFlMmU2N2Rm username: YWRtaW4=
II、使用方式
1、將 Secret 掛載到 Volume 中
apiVersion: v1 kind: Pod metadata: labels: name: seret-test name: seret-test spec: volumes: - name: secrets secret: secretName: mysecret containers: - image: hub.hlc.com/library/myapp:v1 name: db volumeMounts: - name: secrets mountPath: "readOnly: true" readOnly: true
II、使用方式1、將 Secret 掛載到 Volume 中2、將 Secret 匯出到環境變數中
apiVersion: apps/v1 kind: Deployment metadata: name: pod-deployment spec: replicas: 2 selector: matchLabels: app: pod-deployment template: metadata: labels: app: pod-deployment spec: containers: - name: pod-1 image: hub.hlc.com/library/myapp:v1 ports: - containerPort: 80 env: - name: TEST_USER valueFrom: secretKeyRef: name: mysecret key: username - name: TEST_PASSWORD valueFrom: secretKeyRef: name: mysecret key: password
$ kubectl exec pod-deployment-5877f7ddf8-rhs5j -it -- bash $ echo $TEST_USER admin $ echo $TEST_PASSWORD 1f2d1e2e67df
kubernetes.io/dockerconfigjson
使用 Kuberctl 建立 docker registry 認證的 secret
$ kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL secret "myregistrykey" created.
在建立 Pod 的時候,通過imagePullSecrets來引用剛建立的 myregistrykey
apiVersion: v1 kind: Pod metadata: name: foo spec: containers: - name: foo image: roc/awangyang:v1 imagePullSecrets: - name: myregistrykey