Kubernetes的Secret

Secret介绍
Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。
Secret类型
目前Secret的类型有3种：
（1）Opaque(default)：任意字符串，base64编码格式的Secret，用来存储密码、密钥等；
（2）kubernetes.io/service-account-token：作用于ServiceAccount，就是kubernetes的Service Account中所说的。即用来访问Kubernetes API，由Kubernetes自动创建，并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中；
（3）kubernetes.io/dockercfg: 作用于Docker registry，用户下载docker镜像认证使用。用来存储私有docker registry的认证信息。

Opaque Secret类型

#Opaque类型的数据是一个map类型，要求value是base64编码格式：
##创建admin账户
echo -n "admin" | base64
YWRtaW4=
echo -n "1f2d1e2e67df" | base64
MWYyZDFlMmU2N2Rm

#创建secret.yaml
cat >> secrets.yml << EOF
apiVersion: v1
kind: Secret
metadata:
    name: mysecret
type: Opaque
data:
    password: MWYyZDFlMmU2N2Rm
    username: YWRtaW4=

#创建secret
kubectl create -f secrets.yml

#查看secret运行状态
kubectl get secret --all-namespaces
NAMESPACE     NAME                                             TYPE                                  DATA      AGE
default       mysecret                                         Opaque                                2         10m

#使用secret
##创建好secret之后，有两种方式来使用它：
（1）以Volume方式
（2）以环境变量方式

将Secret挂载到Volume中

#创建nginx.yaml
apiVersion: v1
kind: Pod
metadata:
    labels:
        name: wtf
    name: mypod
spec:
    volumes:
    - name: secrets
        secret:
            secretName: mysecret
    containers:
    - image: nginx:1.7.9
        name: nginx
        volumeMounts:
        - name: secrets
            mountPath: "/etc/secrets"
            readOnly: true
        ports:
        - name: cp
           containerPort: 5432
           hostPort: 5432
##说明：这样就可以通过文件的方式挂载到容器内，在/etc/secrets目录下回
生成这个文件。

#查看Pod运行状态
kubectl get pod
NAME      READY     STATUS    RESTARTS   AGE
mypod     1/1       Running   0          12s

#进入容器内部查看/etc/secrets目录下文件
kubectl exec -it mypod /bin/bash
root@mypod:/# cd /etc/secrets
root@mypod:/etc/secrets# ls -l
total 0
lrwxrwxrwx 1 root root 15 Jun  1 07:25 password -> ..data/password
lrwxrwxrwx 1 root root 15 Jun  1 07:25 username -> ..data/username
cat username
admin
cat password 
1f2d1e2e67df

将Secret导出到环境变量中

#创建wordpress.yaml
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
    name: wordpress-deployment
spec:
    replicas: 2
    template:
        metadata:
            labels:
                app: wordpress
        spec:
            containers:
            - name: "wordpress"
                image: "wordpress:latest"
                ports:
                - containerPort: 80
                env:
                - name: WORDPRESS_DB_USER
                    valueFrom:
                        secretKeyRef:
                            name: mysecret
                            key: username
                - name: WORDPRESS_DB_PASSWORD
                    valueFrom:
                        secretKeyRef:
                            name: mysecret
                            key: password

#查看Pod运行状态
kubectl get po
NAME                                    READY     STATUS    RESTARTS   AGE
wordpress-deployment-6b569fbb7d-8qcpg   1/1       Running   0          2m
wordpress-deployment-6b569fbb7d-xwwkg   1/1       Running   0          2m
##说明：进入容器通过env命令，你将可以看到这两个环境变量被注入到容器内。

#进入容器内部查看环境变量
kubectl exec -it wordpress-deployment-694f4c79b4-cpsxw  /bin/bash
root@wordpress-deployment-694f4c79b4-cpsxw:/var/www/html# env
WORDPRESS_DB_USER=admin
WORDPRESS_DB_PASSWORD=1f2d1e2e67df

kubernetes.io/dockerconfigjson

#可以直接用kubectl命令来创建用于docker registry认证的secret：
kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
secret "myregistrykey" created

#也可以直接读取~/.docker/config.json的内容来创建：
cat ~/.docker/config.json | base64
cat > myregistrykey.yaml << EOF
apiVersion: v1
kind: Secret
metadata:
    name: myregistrykey
data:
    .dockerconfigjson: UmVhbGx5IHJlYWxseSByZWVlZWVlZWVlZWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWxsbGxsbGxsbGxsbGxsbGxsbGxsbGxsbGxsbGxsbGx5eXl5eXl5eXl5eXl5eXl5eXl5eSBsbGxsbGxsbGxsbGxsbG9vb29vb29vb29vb29vb29vb29vb29vb29vb25ubm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg==
type: kubernetes.io/dockerconfigjson
EOF

#创建
kubectl create -f myregistrykey.yaml

实战kubernetes.io/dockerconfigjson的运用

#在创建Pod的时候，通过imagePullSecrets来引用刚创建的myregistrykey:
apiVersion: v1
kind: Pod
metadata:
    name: foo
spec:
    containers:
        - name: foo
            image: janedoe/awesomeapp:v1
    imagePullSecrets:
        - name: myregistrykey

Service Account类型

#Service Account用来访问Kubernetes API，由Kubernetes自动创建，并且会
自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中。
kubectl run nginx --image nginx
deployment "nginx" created
kubectl get pods
NAME                     READY     STATUS    RESTARTS   AGE
nginx-3137573019-md1u2   1/1       Running   0          13s
kubectl exec nginx-3137573019-md1u2 ls /run/secrets/kubernetes.io/serviceaccount
ca.crt
namespace
token

Kubernetes的Secret

猜你喜欢