Kubernetes 中的 Secret 详解-JavaScript中文网-JavaScript教程资源分享门户

前言

在 Kubernetes 中，Secret 是一种用于存储敏感信息的 Kubernetes 对象，如访问令牌、用户名和密码等等。在本文中，我们将深入探讨 Secret 的概念、类型、用法和最佳实践，以及如何在 Kubernetes 中管理和使用 Secret。

概念

在 Kubernetes 中，Secret 是一种包含敏感信息的对象，并被加密以确保数据安全的 Kubernetes 对象。它可以用于存储任何敏感信息，如密码、密钥、证书等等。

Secret 的值可以通过环境变量、卷挂载和容器参数等多种方式来访问和使用。

类型

Kubernetes 中的 Secret 主要分为以下三种类型：

Opaque

Opaque 类型是 Secret 中最基本和最简单的类型，它的数据格式是任意的 byte 数组。它通常用于存储密码和密钥等敏感信息。

一个简单的 Opaque 类型的 Secret 示例：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: dGVzdA==
  password: cGFzc3dvcmQ=

Service Account Token

Service Account Token 类型是 Kubernetes API 中用于身份验证的 token。这种类型的 Secret 包含了一个被编码的访问令牌和一些额外的元数据。

一个简单的 Service Account Token 类型的 Secret 示例：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: kubernetes.io/service-account-token
data:
  token: ZXlKaGJHY2lPaUpJVXpJMU5pSXNJbWxoZENJNk1UUTBOakk0ZlEuZXlKMWMyVnlTV1FpT2lJMmVXbFpMVEVpTENKeWIyeGxiblJpT1RJNU1EVTNNREUyWWk4cFpDSTZNVEJFZlE=

TLS

TLS 类型是 Secret 中用于存储证书和密钥的类型。这种类型的 Secret 是由一个或多个证书文件和私钥文件组成。

一个简单的 TLS 类型的 Secret 示例：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: kubernetes.io/tls
data:
  tls.crt: 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
  tls.key: LS0tLS1CRUdJTiBQUklWQVRFIEtFWS0tLS0tCk1JSUJJZ0lCQURBTkJna3Foa2lHOXcwQkFRRUZBQVNDQktjd0tKZVpINTZ5dHFuWU9NbmU4RVpBWTlUUUswKwotLS0tLUVORCBQUklWQVRFIEtFWS0tLS0tCg==

用法

在 Kubernetes 中，我们可以使用 Secret 存储敏感信息，并将其与 Pod、Service、Deployment 等其他 Kubernetes 对象进行绑定。在以下示例中，我们将使用 Secret 存储 PostgreSQL 数据库的用户名和密码。

首先，我们需要创建一个 Postgres Secret：

apiVersion: v1
kind: Secret
metadata:
  name: postgres-secret
type: Opaque
data:
  username: cG9zdGdyZXM=
  password: cGFzc3dvcmQ=

在这个 Secret 中，我们使用了 Opaque 类型，并将我们的用户名和密码编码为 base64 格式。

接下来，我们需要创建一个 Volumes，将 Secret 挂载到 Pod 中：

-- -------------------- ---- -------
----------- --
----- ---
---------
  ----- --------
-----
  -----------
    - ----- --------
      ------ ---------------
      -------------
        - ----- -------------
          ---------- ------------------------
      ----
        - ----- -------------
          ----------
            -------------
              ----- ---------------
              ---- --------
        - ----- -----------------
          ----------
            -------------
              ----- ---------------
              ---- --------
  --------
    - ----- -------------
      ----------------------
        ---------- ------------
    - ----- ---------------
      -------
        ----------- ---------------

在这个示例中，我们创建了一个 Pod，并使用 volumeMounts 将 Volumes 挂载到 /var/lib/postgresql/data 路径。我们也使用了 Secret 中存储的值来设置 POSTGRES_USER 和 POSTGRES_PASSWORD 的环境变量。

最佳实践

在使用 Secret 时，请始终遵循以下最佳实践：

不要将明文密码、密钥等敏感信息存储在 Kubernetes 中，这会导致安全风险。
不要在 Pod 的 YAML 文件中硬编码敏感信息。
将敏感信息存储在 Secret 中，并使用 volumeMounts 或环境变量等方式将其注入到 Pod 中。
确保使用正确的 Secret 类型，如 Opaque、Service Account Token 和 TLS。
不要共享 Secret，不同的应用程序应该有自己的 Secret。
定期更新 Secret，并确保 Secret 中的敏感信息不会过期。

结论

在本文中，我们学习了 Kubernetes 中的 Secret 的概念、类型和用法。我们还了解了如何在 Kubernetes 中管理和使用 Secret，并提供了一个存储 PostgreSQL 数据库用户名和密码的示例。

使用 Secret 可以确保敏感信息的安全，并帮助我们避免安全风险。请始终遵循最佳实践来保护您的敏感信息。

来源：JavaScript中文网，转载请注明来源 https://www.javascriptcn.com/post/67072de5d91dce0dc865928d