十一、配置管理

1.配置容器化应用的方式

（1）自定义命令行参数； 
args: [] 
（2）把配置文件直接焙进镜像；2018/8/23 kubernetes.txt 
（3）环境变量 
       ① Cloud Native的应用程序一般可直接通过环境变量加载配置； 
       ② 通过entrypoint脚本来预处理变量为配置文件中的配置信息； 
（4）存储卷

2.Secret（加密）

官网文档：https://kubernetes.io/docs/concepts/configuration/secret/
加密数据并存放Etcd中，让Pod的容器以挂载Volume方式访问。 
应用场景：凭据 、私钥、证书、某一些密码 base64编码
Pod使用secret两种方式： 
• 变量注入 
• 挂载

保存类型
  docker-registry  docker仓库的认证方式
  generic         通用，文件或者一些变量
  tls             tls证书

（1）配置docker私有仓库(在pod的spec中配置使用的secret的名字)

在pod的配置段配置拉取使用的secret
spec:
imagePullSecrets:    
- name: myregistrykey
containers:
配置secret
kubectl create secret docker-registry secret名字 --docker-server=docker私有仓库地址  --docker-username=用户名  --docker-password=密码  --docker-email=邮箱

示例kubectl create secret docker-registry regsecret --docker-server=registry.fjhb.cn  --docker-username=ylw  --docker-password=123   [email protected]

（2）在pod指定serviceaccountName（pod连接api-server的用户）

[root@k8s-master nfs]# echo 555 | base64 
NTU1Cg==
[root@k8s-master nfs]# echo NTU1Cg== | base64 -d
555

serviceaccountName对应的serviceaccount具备docker私有仓库的认证信息
这样可以更加安全在pod种只能看到sa并不能看到我们sa的信息

（3）变量注入

Base 64加密

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque  #通用类型
data:
  username: YWRtaW4=
  password: MWYyZDFlMmU2N2Rm

apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
  - name: nginx
    image: nginx
    env:
      - name: SECRET_USERNAME          #传给容器内的变量
        valueFrom:
          secretKeyRef:
            name: mysecret              #用的哪一个secret
            key: username               #secret的key
      - name: SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: mysecret
            key: password

（4）数据卷挂载

apiVersion: v1
kind: Pod
metadata:
  name: mypod2
spec:
  containers:
  - name: nginx
    image: nginx
    volumeMounts:
    - name: foo
      mountPath: "/etc/foo"
      readOnly: true
  volumes:
  - name: foo
    secret:
      secretName: mysecret

3.Configmap（不加密）

官网文档：https://kubernetes.io/docs/tasks/configure-pod-container/configure-pod-configmap/
与Secret类似，区别在于ConfigMap保存的是不需要加密配置信息。 
应用场景：应用配置
Configmap也是名称空间级别的类型简称（cm），一些列配置数据的集合，让镜像变得更加灵活，保存的所有都是键值对，value没有长度限制，在pod启动的时候，可以从configmap的key获取相关的配置项

命令行创建
[root@k8s-master nfs]# kubectl create configmap  nginx --from-file=www=1.conf
www为key  
Value为1.conf的内容
如果没有www的话那么key就默认为文件名

（1）变量注入（这种方法只会在pod启动生效，无法实时更新）

apiVersion: v1
kind: ConfigMap
metadata:
  name: myconfig
  namespace: default
data:
  special.level: info
  special.type: hello
---
apiVersion: v1
kind: Pod
metadata:
  name: mypod
spec:
  containers:
    - name: busybox
      image: busybox
      command: [ "/bin/sh", "-c", "echo $LEVEL $(TYPE)" ]
      env:
        - name: LEVEL
          valueFrom:
            configMapKeyRef:
              name: myconfig
              key: special.level
        - name: TYPE              #这个就是你容器中的一个变量
          valueFrom:
            configMapKeyRef:
              name: myconfig   #引用的configmap的名字
              key: special.type  #这个是从configmap中获取的key，通过key获取value
              optional: true（flase） 布尔值      #如果有这个的话就是没有configmap也没事，以后添加也可以，如果没有这个那么如果你选择的configmap一旦没有那么直接报错
  restartPolicy: Never

（2）数据卷挂载

相当于做了个软连接 把configmap的内容软连接pod中你挂在目录路下，实时更新，虽然实时更新，
但是读取配置文件的话还需要web热加载一下，不支持热加载的需要重启一下，那么就需要灰度发布

apiVersion: v1
kind: ConfigMap
metadata:
  name: redis-config
data:
  redis.properties: |
    redis.host=127.0.0.1
    redis.port=6379
    redis.password=123456

---

apiVersion: v1
kind: Pod
metadata:
  name: mypod2
spec:
  containers:
    - name: busybox
      image: busybox
      command: [ "/bin/sh","-c","cat /etc/config/redis.properties" ]
      volumeMounts:                   #使用存粗卷挂载
      - name: config-volume             #存储卷名字
        mountPath: /etc/config           #挂载到哪里（容器）
        readOnly: true                   #不应该由容器来改变，只读挂载（这个可以没有，没有的话表示读写挂载）
  volumes:                             #村粗卷
    - name: config-volume              #存粗卷名称
      configMap:                       #类型为configmap
        name: redis-config             #configmap名字
  restartPolicy: Never

一个configmap可能会有多个key，但是我们如果只需要其中的某一个或几个的话可以用
items（是个列表）来指定并且用key和path还有mode做一些管控，key是键，path是文件路径不能用..来写，mode是文件权限比如0700等等 
查询姿势kubectl explain  pod.spec.volumes.configMap.items
官方文档示例：https://kubernetes.io/docs/concepts/storage/volumes/#configmap
是写在volumes中 设置这个存储卷使用那些key，然后volumeMounts直接使用即可