第十章 Secret & Configmap （中）

10.3 在Pod中使用Secret

　　10.3.1 Volume方式　　

apiVersion: v1
kind: Pod
metaata:
  name: mypod
spec:
  containers:
  - name: mypod
    image: busybox
    args:
      - /bin/sh
      - -c
      - sleep ; touch /tmp/healthy; sleep
    volumeMounts:
    - name: foo
      mountPath: "/etc/foo"    # 在容器内部的该路径下
      readOnly: true
  volumes:
  - name: foo
    secret:
      secretName: mysecret     # 指定有前面创建的mysecret

 kubectl apply -f mypod.yml
 pod "mypod" created

kubeusr@GalaxyKubernetesMaster:~$ kubectl get pods
NAME                READY     STATUS              RESTARTS   AGE
mypod               /       ContainerCreating             7s
producer-consumer   /       Running                       18h
kubeusr@GalaxyKubernetesMaster:~$ kubectl get pods
NAME                READY     STATUS    RESTARTS   AGE
mypod               /       Running             14s
producer-consumer   /       Running             18h
kubeusr@GalaxyKubernetesMaster:~$ kubectl exec -it mypod  sh     # 进入容器
/ # cd /etc/foo              # 进入
/etc/foo # ls
password  username
/etc/foo #

cat /etc/foo/password        # 可以直接查看内容，是名文。

K8s会在指定的路径下为每条敏感数据创建一个文件，文件名是数据条目的Key, /etc/foo/username和 etc/foo/password, value是以明文的形式存放在文件中。

我们也可以自定义存放数据的文件名，配置文件如下改动：这时，数据将存放在/etc/foo/my-group/myt-username中。

apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
  - name: mypod
    image: busybox
    args:
      - /bin/sh
      - -c
      - sleep ; touch /tmp/healthy; sleep
    volumeMounts:
    - name: foo
      mountPath: "/etc/foo"
      readOnly: true
  volumes:
  - name: foo
    secret:
      secretName: mysecret
      items:
      - key: username
        path: my-group/my-username
      - key: password
        path: my-group/my-password

以Voluime方式使用secret支持动态更新：Secret更新后，容器中的数据也会更新。

　10.3.2 环境变量方式

　　 通过volume方式使用secret，容器必须从文件读取数据，稍显麻烦。

　　 K8s支持通过环境变量使用secret。

　　

apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
  - name: mypod
    image: busybox
    args:
      - /bin/sh
      - -c
      - sleep ; touch /tmp/healthy; sleep
    env:
      - name: SECRET_USERNAME        # 环境变量名字
        valueFrom:
          secretKeyRef:
            name: mysecret           # 从哪个secret来
            key: username            # key
      - name: SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: password

通过环境变量SECRET_USERNAME 和 SECRET_PASSWORD就可以读取到secret的数据，但是注意： 环境变量的方式不支持Secret动态更新。

-su: kubeusr@GalaxyKubernetesMaster:~$: command not found
kubeusr@GalaxyKubernetesMaster:~$ pod "mypod" created