k8s实践(7)- k8s Secrets

傷城~ 2022-01-11 18:29 490阅读 0赞

Secrets是Kubernetes中一种对象类型，用来保存密码、私钥、口令等敏感信息。与直接将敏感信息嵌入image、pod相比，Secrets更安全、更灵活，用户对敏感信息的控制力更强。同Docker对敏感信息的管理类似，首先用户创建Secrets将敏感信息加密后保存在集群中，创建pod时通过volume、环境变量引用Secrets。

# 1. Secret类型 #

--------------------

Secret有三种类型：

*  Opaque：使用base64编码存储信息，可以通过`base64 --decode`解码获得原始数据，因此安全性弱。
 *  kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。作用于Docker registry(nexus)，用户下载docker镜像认证使用。
 *  kubernetes.io/service-account-token：用于被 serviceaccount 引用。serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount，对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。

# 2. Opaque Secret #

--------------------

Opaque类型的Secret，其value为base64编码后的值。

## 2.1 从文件中创建Secret ##

分别创建两个名为username.txt和password.txt的文件：

$ echo -n "admin" > ./username.txt
    $ echo -n "1f2d1e2e67df" > ./password.txt

使用`kubectl create secret`命令创建secret：

$ kubectl create secret generic db-user-pass --from-file=./username.txt --from-file=./password.txt
    secret "db-user-pass" created

## 2.2 使用描述文件创建Secret ##

首先使用base64对数据进行编码：

$ echo -n 'admin' | base64
    YWRtaW4=
    $ echo -n '1f2d1e2e67df' | base64
    MWYyZDFlMmU2N2Rm

创建一个类型为Secret的描述文件：

apiVersion: v1
    kind: Secret
    metadata:
      name: mysecret
    type: Opaque
    data:
      username: YWRtaW4=
      password: MWYyZDFlMmU2N2Rm

$ kubectl create -f ./secret.yaml
    secret "mysecret" created

查看此Secret：

$ kubectl get secret mysecret -o yaml
    apiVersion: v1
    data:
      username: YWRtaW4=
      password: MWYyZDFlMmU2N2Rm
    kind: Secret
    metadata:
      creationTimestamp: 2016-01-22T18:41:56Z
      name: mysecret
      namespace: default
      resourceVersion: "164619"
      selfLink: /api/v1/namespaces/default/secrets/mysecret
      uid: cfee02d6-c137-11e5-8d73-42010af00002
    type: Opaque

## 2.3 Secret的使用 ##

创建好Secret之后，可以通过两种方式使用：

*  以Volume方式
 *  以环境变量方式

### 2.3.1 将Secret挂载到Volume中 ###

apiVersion: v1
    kind: Pod
    metadata:
      name: mypod
    spec:
      containers:
      - name: mypod
        image: redis
        volumeMounts:
        - name: foo
          mountPath: "/etc/foo"
          readOnly: true
      volumes:
      - name: foo
        secret:
          secretName: mysecret

进入Pod查看挂载的Secret：

# ls /etc/secrets
    password  username
    # cat  /etc/secrets/username
    admin
    # cat  /etc/secrets/password
    1f2d1e2e67df

也可以只挂载Secret中特定的key：

在这种情况下：

*  username 存储在/etc/foo/my-group/my-username中
 *  password未被挂载

### 2.3.2 将Secret设置为环境变量 ###

apiVersion: v1
    kind: Pod
    metadata:
      name: secret-env-pod
    spec:
      containers:
      - name: mycontainer
        image: redis
        env:
          - name: SECRET_USERNAME
            valueFrom:
              secretKeyRef:
                name: mysecret
                key: username
          - name: SECRET_PASSWORD
            valueFrom:
              secretKeyRef:
                name: mysecret
                key: password
      restartPolicy: Never

# 3. kubernetes.io/dockerconfigjson #

--------------------

kubernetes.io/dockerconfigjson用于存储docker registry的认证信息，可以直接使用`kubectl create secret`命令创建：

$ kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
    secret "myregistrykey" created.

查看secret的内容：

$ kubectl get secret myregistrykey  -o yaml
    apiVersion: v1
    data:
      .dockercfg: eyJjY3IuY2NzLnRlbmNlbnR5dW4uY29tL3RlbmNlbnR5dW4iOnsidXNlcm5hbWUiOiIzMzIxMzM3OTk0IiwicGFzc3dvcmQiOiIxMjM0NTYuY29tIiwiZW1haWwiOiIzMzIxMzM3OTk0QHFxLmNvbSIsImF1dGgiOiJNek15TVRNek56azVORG94TWpNME5UWXVZMjl0In19
    kind: Secret
    metadata:
      creationTimestamp: 2017-08-04T02:06:05Z
      name: myregistrykey
      namespace: default
      resourceVersion: "1374279324"
      selfLink: /api/v1/namespaces/default/secrets/myregistrykey
      uid: 78f6a423-78b9-11e7-a70a-525400bc11f0
    type: kubernetes.io/dockercfg

通过 base64 对 secret 中的内容解码：

$ echo "eyJjY3IuY2NzLnRlbmNlbnR5dW4uY29tL3RlbmNlbnR5dW4iOnsidXNlcm5hbWUiOiIzMzIxMzM3OTk0IiwicGFzc3dvcmQiOiIxMjM0NTYuY29tIiwiZW1haWwiOiIzMzIxMzM3OTk0QHFxLmNvbSIsImF1dGgiOiJNek15TVRNek56azVORG94TWpNME5UWXVZMjl0XXXX" | base64 --decode
    {"ccr.ccs.tencentyun.com/XXXXXXX":{"username":"3321337XXX","password":"123456.com","email":"3321337XXX@qq.com","auth":"MzMyMTMzNzk5NDoxMjM0NTYuY29t"}}

也可以直接读取 ~/.dockercfg 的内容来创建：

$ kubectl create secret docker-registry myregistrykey \
      --from-file="~/.dockercfg"

在创建 Pod 的时候，通过 imagePullSecrets 来引用刚创建的 myregistrykey:

apiVersion: v1
    kind: Pod
    metadata:
      name: foo
    spec:
      containers:
        - name: foo
          image: janedoe/awesomeapp:v1
      imagePullSecrets:
        - name: myregistrykey

# 4. kubernetes.io/service-account-token #

--------------------

用于被 serviceaccount 引用。serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount，对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。

$ kubectl run nginx --image nginx
    deployment "nginx" created
    $ kubectl get pods
    NAME                     READY     STATUS    RESTARTS   AGE
    nginx-3137573019-md1u2   1/1       Running   0          13s
    $ kubectl exec nginx-3137573019-md1u2 ls /run/secrets/kubernetes.io/serviceaccount
    ca.crt
    namespace
    token

### 参考文章 ###

*  [https://kubernetes.io/docs/concepts/configuration/secret/][https_kubernetes.io_docs_concepts_configuration_secret]
 *  [https://kubernetes.feisky.xyz/zh/concepts/secret.html][https_kubernetes.feisky.xyz_zh_concepts_secret.html]

[https_kubernetes.io_docs_concepts_configuration_secret]: https://link.jianshu.com?t=https%3A%2F%2Fkubernetes.io%2Fdocs%2Fconcepts%2Fconfiguration%2Fsecret%2F
[https_kubernetes.feisky.xyz_zh_concepts_secret.html]: https://link.jianshu.com?t=https%3A%2F%2Fkubernetes.feisky.xyz%2Fzh%2Fconcepts%2Fsecret.html