k8s 管理机密信息

我就是我 2023-08-17 16:48 114阅读 0赞

### 一、启动应用安全信息的保护： ###

#### Secret介绍： ####

应用启动过程中可能需要一些敏感信息，比如访问数据库的用户名密码或者秘钥。将这些信息直接保存在容器镜像中显然不妥，Kubernetes 提供的解决方案是 Secret。

Secret 会以密文的方式存储数据，避免了直接在配置文件中保存敏感信息。Secret 会以 Volume 的形式被 mount 到 Pod，容器可通过文件的方式使用 Secret 中的敏感数据；此外，容器也可以环境变量的方式使用这些数据。

Secret 可通过命令行或 YAML 创建。比如希望 Secret 中包含如下信息：

用户名 admin

密码 123456

#### 创建 Secret ####

有四种方法创建 Secret：

##### 1. 通过 --from-literal： #####

`kubectl create secret generic mysecret --from-literal=username=admin --from-literal=password=123456`

`kubectl get secret`

`kubectl get secret mysecret`

每个 --from-literal 对应一个信息条目。

[![clip\_image001][clip_image001]][clip_image001_clip_image001]

##### 2. 通过 --from-file： #####

`echo -n admin > ./username # -n不换行`

`echo -n 123456 > ./password`

`kubectl create secret generic mysecret --from-file=./username --from-file=./password`

每个文件内容对应一个信息条目。

[![clip\_image002][clip_image002]][clip_image002_clip_image002]

##### 3. 通过 --from-env-file： #####

`cat << EOF > env.txt`

`username=admin`

`password=123456`

`EOF`

[![clip\_image003][clip_image003]][clip_image003_clip_image003]

`kubectl create secret generic mysecret --from-env-file=env.txt`

文件 env.txt 中每行 Key=Value 对应一个信息条目。

[![clip\_image004][clip_image004]][clip_image004_clip_image004]

##### 4. 通过 YAML 配置文件： #####

[![clip\_image005][clip_image005]][clip_image005_clip_image005]

文件中的敏感数据必须是通过 base64 编码后的结果。

[![clip\_image006][clip_image006]][clip_image006_clip_image006]

执行 kubectl apply 创建 Secret：

[![clip\_image007][clip_image007]][clip_image007_clip_image007]

[![clip\_image008][clip_image008]][clip_image008_clip_image008]

`显示有两个数据条目，kubectl describe secret 查看条目的 Key：`

[![clip\_image009][clip_image009]][clip_image009_clip_image009]

`如果还想查看 Value，可以用 kubectl edit secret mysecret`

[![clip\_image010][clip_image010]][clip_image010_clip_image010]

然后通过 base64 将 Value 反编码：

[![clip\_image011][clip_image011]][clip_image011_clip_image011]

#### 二、secret在pod中的应用 ####

#### volume 方式使用 Secret ####

Pod 可以通过 Volume 或者环境变量的方式使用 Secret，先学习 Volume 方式。

（1）Pod 的配置文件如下所示：

[![clip\_image012][clip_image012]][clip_image012_clip_image012]

① 定义 volume foo，来源为 secret mysecret

② 将 foo mount 到容器路径 /etc/foo，可指定读写权限为 readOnly

创建 Pod 并在容器中读取 Secret：

[![clip\_image013][clip_image013]][clip_image013_clip_image013]

可以看到，Kubernetes 会在指定的路径 /etc/foo 下为每条敏感数据创建一个文件，文件名就是数据条目的 Key，这里是 /etc/foo/username 和 /etc/foo/password，Value 则以明文存放在文件中。

（2）我们也可以自定义存放数据的文件名，比如将配置文件改为：

[![clip\_image014][clip_image014]][clip_image014_clip_image014]

这时数据将分别存放在 /etc/foo/my-group/my-username 和 /etc/foo/my-group/my-password 中。

以 Volume 方式使用的 Secret 支持动态更新：Secret 更新后，容器中的数据也会更新。

将 password 更新为 abcdef，base64 编码为 YWJjZGVm

[![clip\_image015][clip_image015]][clip_image015_clip_image015]

更新 Secret。

[![clip\_image016][clip_image016]][clip_image016_clip_image016]

[![clip\_image017][clip_image017]][clip_image017_clip_image017]

几秒钟或，新的 password 会同步到容器。

[![clip\_image018][clip_image018]][clip_image018_clip_image018]

#### 环境变量方式使用 Secret ####

通过 Volume 使用 Secret，容器必须从文件读取数据，会稍显麻烦，Kubernetes 还支持通过环境变量使用 Secret。

Pod 配置文件示例如下：

[![clip\_image019][clip_image019]][clip_image019_clip_image019]

创建 Pod 并读取 Secret。

[![clip\_image020][clip_image020]][clip_image020_clip_image020]

通过环境变量 SECRET\_USERNAME 和 SECRET\_PASSWORD 成功读取到 Secret 的数据。

需要注意的是，环境变量读取 Secret 很方便，但无法支撑 Secret 动态更新。

Secret 可以为 Pod 提供密码、Token、私钥等敏感数据；

转载于:https://www.cnblogs.com/liangzb310/p/11283166.html

[clip_image001]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155331956-208221383.png
[clip_image001_clip_image001]: /images/20230809/fb2c03d01ebb4c698cb85ab6dea7ac6f.png
[clip_image002]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155346914-1117295306.png
[clip_image002_clip_image002]: /images/20230809/39f90ae07e98454d994faf9726eca8f0.png
[clip_image003]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155359883-1651488960.png
[clip_image003_clip_image003]: /images/20230809/f7384520ca9847599e6e328101a12784.png
[clip_image004]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155421183-65867960.png
[clip_image004_clip_image004]: /images/20230809/5d1ac2a617644181899d2fa06ca1b922.png
[clip_image005]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155435732-1459299102.png
[clip_image005_clip_image005]: /images/20230809/d0d986782f08483ea5a9d67755516e15.png
[clip_image006]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155450638-2100504992.png
[clip_image006_clip_image006]: /images/20230809/bd9c7b9c756947ecbefd492aa93aabb4.png
[clip_image007]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155514440-885548940.png
[clip_image007_clip_image007]: /images/20230809/d3ed316098fd4be4803d0e3a4a4bc1c4.png
[clip_image008]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155529443-1080510358.png
[clip_image008_clip_image008]: /images/20230809/c554c16abe0f45bf815ca6b5ad460fd1.png
[clip_image009]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155544223-221080910.png
[clip_image009_clip_image009]: /images/20230809/0ea09adf1e064cd78385260daede832d.png
[clip_image010]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155602911-28437285.png
[clip_image010_clip_image010]: /images/20230809/b501bab72a404b5cb49cbc8756c735ba.png
[clip_image011]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155617739-1850943979.png
[clip_image011_clip_image011]: /images/20230809/f22a336b32bc425aa963ba672b50ef6c.png
[clip_image012]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155633107-12834549.png
[clip_image012_clip_image012]: /images/20230809/dad024b89e73461aad3b88f3b964f627.png
[clip_image013]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155651898-1485660670.png
[clip_image013_clip_image013]: /images/20230809/805acb9ea1574e1fa9f076d05e37b5c4.png
[clip_image014]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155706851-1870162821.png
[clip_image014_clip_image014]: /images/20230809/a4da2d3f5a7e4ff885b12dd4e3c60697.png
[clip_image015]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155720206-1588180507.png
[clip_image015_clip_image015]: /images/20230809/2bc1fdf4a0e34c5288d1eac3a3b17ba5.png
[clip_image016]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155741436-416773159.png
[clip_image016_clip_image016]: /images/20230809/f4f1f0d8f6b74f5c8489ed93d7ef9898.png
[clip_image017]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155754721-2007489209.png
[clip_image017_clip_image017]: /images/20230809/53d102996c5448b1bfe1b84504248d71.png
[clip_image018]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155808166-993544969.png
[clip_image018_clip_image018]: /images/20230809/186c88908f1c4314ba3e7bf61d92f4a0.png
[clip_image019]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155824314-2104340055.png
[clip_image019_clip_image019]: /images/20230809/955fb9e44a3941d8a202a734e148a395.png
[clip_image020]: https://img2018.cnblogs.com/blog/1629934/201908/1629934-20190801155839897-691516310.png
[clip_image020_clip_image020]: /images/20230809/985ccae5ce624536b260b4879d83bf0f.png