k8s之安全信息(secret)及配置信息(configmap)管理
應(yīng)用啟動過程中可能需要一些敏感信息，比如訪問數(shù)據(jù)庫的用戶名密碼或者秘鑰。將這些信息直接保存在容器鏡像中顯然不妥，Kubernetes 提供的解決方案是 Secret。
成都創(chuàng)新互聯(lián)是專業(yè)的圖木舒克網(wǎng)站建設(shè)公司，圖木舒克接單;提供成都網(wǎng)站設(shè)計、網(wǎng)站制作、外貿(mào)營銷網(wǎng)站建設(shè),網(wǎng)頁設(shè)計,網(wǎng)站設(shè)計,建網(wǎng)站,PHP網(wǎng)站建設(shè)等專業(yè)做網(wǎng)站服務(wù);采用PHP框架,可快速的進(jìn)行圖木舒克網(wǎng)站開發(fā)網(wǎng)頁制作和功能擴(kuò)展;專業(yè)做搜索引擎喜愛的網(wǎng)站,專業(yè)的做網(wǎng)站團(tuán)隊,希望更多企業(yè)前來合作!
Secret 會以密文的方式存儲數(shù)據(jù)，避免了直接在配置文件中保存敏感信息。Secret 會以 Volume 的形式被 mount 到 Pod，容器可通過文件的方式使用 Secret 中的敏感數(shù)據(jù)；此外，容器也可以環(huán)境變量的方式使用這些數(shù)據(jù)。
Secret 可通過命令行或 YAML 創(chuàng)建。比如希望 Secret 中包含如下信息：
- 用戶名 admin
- 密碼 123456
有四種方法創(chuàng)建 Secret：
通過 --from-literal：
kubectl create secret generic mysecret --from-literal=username=admin --from-literal=password=123456每個 --from-literal 對應(yīng)一個信息條目。
通過 --from-file：
echo -n admin > ./username echo -n 123456 > ./password kubectl create secret generic mysecret --from-file=./username --from-file=./password每個文件內(nèi)容對應(yīng)一個信息條目。
通過 --from-env-file：
cat << EOF > env.txt username=admin password=123456 EOF kubectl create secret generic mysecret --from-env-file=env.txt文件 env.txt 中每行 Key=Value 對應(yīng)一個信息條目。
- 通過 YAML 配置文件：
apiVersion: v1 kind: Secret metadata: name: mysecret data: username: YWRtaW4= password: MTIzNDU2
文件中的敏感數(shù)據(jù)必須是通過 base64 編碼后的結(jié)果。
[root@k8s-master ~]# echo -n admin |base64
YWRtaW4=
[root@k8s-master ~]# echo -n 123456 | base64
MTIzNDU2執(zhí)行 kubectl apply 創(chuàng)建 Secret：
# kubectl apply -f mysecrete.yml
secret/mysecret created使用這些創(chuàng)建好的 Secret。
查看 Secre
可以通過 kubectl get secret 查看存在的 secret。
[root@k8s-master ~]# kubectl get secrets
NAME TYPE DATA AGE
default-token-5l66h kubernetes.io/service-account-token 3 14d
mysecret Opaque 2 20s顯示有兩個數(shù)據(jù)條目，kubectl describe secret 查看條目的 Key：
[root@k8s-master ~]# kubectl describe secrets mysecret
Name: mysecret
Namespace: default
Labels:
Annotations:
Type: Opaque
Data
====
password: 6 bytes
username: 5 bytes
[root@k8s-master ~]# 如果還想查看 Value，可以用 kubectl edit secret mysecret：
apiVersion: v1
data:
password: MTIzNDU2
username: YWRtaW4=
kind: Secret
metadata:
annotations:
kubectl.kubernetes.io/last-applied-configuration: |
{"apiVersion":"v1","data":{"password":"MTIzNDU2","username":"YWRtaW4="},"kind":"Secret","metadata":{"annotations":{},"name":"mysecret","namespace":"default"}}
creationTimestamp: "2019-10-14T08:26:43Z"
name: mysecret
namespace: default
resourceVersion: "13845"
selfLink: /api/v1/namespaces/default/secrets/mysecret
uid: a713292c-6fea-4065-b5ae-239f8fe9a76f
type: Opaque
~ 然后通過 base64 將 Value 反編碼：
[root@k8s-master ~]# echo -n MTIzNDU2 |base64 --decode
123456
# echo -n YWRtaW4= |base64 --decode
admin[root@k8s-master ~]# 如何在 Pod 中使用 Secret。
volume 方式使用 Secret
Pod 可以通過 Volume 或者環(huán)境變量的方式使用 Secret。
Pod 的配置文件如下所示：
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10;touch /tmp/healthy;sleep 30000
volumeMounts:
- name: foo
mountPath: /etc/foo
readOnly: true
volumes:
- name: foo
secret:
secretName: mysecret① 定義 volume foo，來源為 secret mysecret。
② 將 foo mount 到容器路徑 /etc/foo，可指定讀寫權(quán)限為 readOnly。
創(chuàng)建 Pod 并在容器中讀取 Secret：
[root@k8s-master ~]# kubectl apply -f mypod.yml
pod/mypod created
[root@k8s-master ~]# kubectl exec -it mypod sh
/ # ls /etc/foo/
password username
/ # cat /etc/foo/username
admin/ #
/ # cat /etc/foo/password
123456/ #
/ #
/ # exit可以看到，Kubernetes 會在指定的路徑 /etc/foo 下為每條敏感數(shù)據(jù)創(chuàng)建一個文件，文件名就是數(shù)據(jù)條目的 Key，這里是 /etc/foo/username 和 /etc/foo/password，Value 則以明文存放在文件中。
我們也可以自定義存放數(shù)據(jù)的文件名，比如將配置文件改為：
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10;touch /tmp/healthy;sleep 30000
volumeMounts:
- name: foo
mountPath: /etc/foo
readOnly: true
volumes:
- name: foo
secret:
secretName: mysecret
items:
- key: username
path: my-group/my-username
- key: password
path: my-group/my-password這時數(shù)據(jù)將分別存放在 /etc/foo/my-group/my-username 和 /etc/foo/my-group/my-password 中。
以 Volume 方式使用的 Secret 支持動態(tài)更新：Secret 更新后，容器中的數(shù)據(jù)也會更新。
將 password 更新為 abcdef，base64 編碼為 YWJjZGVm
[root@k8s-master ~]# cat mysecrete.yml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
data:
username: YWRtaW4=
password: YWJjZGVm更新 Secret。
[root@k8s-master ~]# kubectl apply -f mysecrete.yml
secret/mysecret configured等待，新的 password 會同步到容器。
/etc/foo/..2019_10_14_09_42_09.863448745/my-group # cat my-password
abcdef/etc/foo/..2019_10_14_09_42_09.863448745/my-group # 通過 Volume 使用 Secret，容器必須從文件讀取數(shù)據(jù)，會稍顯麻煩，Kubernetes 還支持通過環(huán)境變量使用 Secret。
Pod 配置文件示例如下：
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
env:
- name: SECRET_USERNAME
valueFrom:
secretKeyRef:
name: mysecret
key: username
- name: SECRET_PASSWORD
valueFrom:
secretKeyRef:
name: mysecret
key: password創(chuàng)建 Pod 并讀取 Secret。
[root@k8s-master ~]# kubectl apply -f MySQL-env.yml
pod/mypod created
[root@k8s-master ~]# kubectl exec -it mypod sh
/ # echo $SECRET_USERNAME
admin
/ # echo $SECRET_PASSWORD
123456
/ # 通過環(huán)境變量 SECRET_USERNAME 和 SECRET_PASSWORD 成功讀取到 Secret 的數(shù)據(jù)。
需要注意的是，環(huán)境變量讀取 Secret 很方便，但無法支撐 Secret 動態(tài)更新。
Secret 可以為 Pod 提供密碼、Token、私鑰等敏感數(shù)據(jù)；對于一些非敏感數(shù)據(jù)，比如應(yīng)用的配置信息，則可以用 ConfigMap。
Secret 可以為 Pod 提供密碼、Token、私鑰等敏感數(shù)據(jù)；對于一些非敏感數(shù)據(jù)，比如應(yīng)用的配置信息，則可以用 ConfigMap。
ConfigMap 的創(chuàng)建和使用方式與 Secret 非常類似，主要的不同是數(shù)據(jù)以明文的形式存放。
與 Secret 一樣，ConfigMap 也支持四種創(chuàng)建方式：
通過 --from-literal：
kubectl create configmap myconfigmap --from-literal=config1=xxx --from-literal=config2=yyy每個 --from-literal 對應(yīng)一個信息條目。
通過 --from-file：
echo -n xxx > ./config1 echo -n yyy > ./config2 kubectl create configmap myconfigmap --from-file=./config1 --from-file=./config2每個文件內(nèi)容對應(yīng)一個信息條目。
通過 --from-env-file：
cat << EOF > env.txt config1=xxx config2=yyy EOF kubectl create configmap myconfigmap --from-env-file=env.txt文件 env.txt 中每行 Key=Value 對應(yīng)一個信息條目。
- 通過 YAML 配置文件：
apiVersion: v1 kind: ConfigMap metadata: name: myconfigmap1 data: config1: xxx config2: yyy文件中的數(shù)據(jù)直接以明文輸入。
與 Secret 一樣，Pod 也可以通過 Volume 或者環(huán)境變量的方式使用 Secret。
Volume 方式：
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
volumeMounts:
- name: foo
mountPath: /etc/foo
readOnly: true
volumes:
- name: foo
configMap:
name: myconfigmap環(huán)境變量方式：
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
env:
- name: CONFIG_1
valueFrom:
configMapKeyRef:
name: myconfigmap
key: config1
- name: CONFIG_2
valueFrom:
configMapKeyRef:
name: myconfigmap
key: config2大多數(shù)情況下，配置信息都以文件形式提供，所以在創(chuàng)建 ConfigMap 時通常采用 --from-file 或 YAML 方式，讀取 ConfigMap 時通常采用 Volume 方式。
比如給 Pod 傳遞如何記錄日志的配置信息：
class: logging.handlers.RotatingFileHandler
formatter: precise
level: INFO
filename: %hostname-%timestamp.log可以采用 --from-file 形式，則將其保存在文件 logging.conf 中，然后執(zhí)行命令：
# kubectl create configmap myconfigmap2 --from-file=./logging.conf kubectl create configmap myconfigmap --from-file=./logging.conf
如果采用 YAML 配置文件，其內(nèi)容則為：
apiVersion: v1
kind: ConfigMap
metadata:
name: myconfigmap3
data:
logging.conf: |
class: logging.handlers.RotatingFileHandler
formatter: precise
level: INFO
filename: %hostname-%timestamp.log注意別漏寫了 Key logging.conf 后面的 | 符號。
創(chuàng)建并查看 ConfigMap：
[root@k8s-master ~]# kubectl apply -f myconfigmap2.yml
configmap/myconfigmap3 created
[root@k8s-master ~]# kubectl get configmaps myconfigmap3
NAME DATA AGE
myconfigmap3 1 2m39s
[root@k8s-master ~]# kubectl describe configmaps myconfigmap3
Name: myconfigmap3
Namespace: default
Labels:
Annotations: kubectl.kubernetes.io/last-applied-configuration:
{"apiVersion":"v1","data":{"logging.conf":"class: logging.handlers.RotatingFileHandler\nformatter: precise\nlevel: INFO\nfilename: %hostna...
Data
====
logging.conf:
----
class: logging.handlers.RotatingFileHandler
formatter: precise
level: INFO
filename: %hostname-%timestamp.log
Events:
[root@k8s-master ~]# 在 Pod 中使用此 ConfigMap，配置文件為：
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
name: nginx-configmap
spec:
replicas: 1
template:
metadata:
labels:
app: nginx-configmap
spec:
containers:
- name: nginx-configmap
image: nginx
ports:
- containerPort: 80
volumeMounts:
- name: config-volume4
mountPath: /tmp/config4
volumes:
- name: config-volume4
configMap:
name: myconfigmap① 在 volume 中指定存放配置信息的文件相對路徑為 myapp/logging.conf。
② 將 volume mount 到容器的 /etc 目錄。
創(chuàng)建 Pod 并讀取配置信息：
配置信息已經(jīng)保存到 /etc/myapp/logging.conf 文件中。與 Secret 一樣，Volume 形式的 ConfigMap 也支持動態(tài)更新，留給大家自己實踐。
小結(jié)
向 Pod 傳遞配置信息。如果信息需要加密，可使用 Secret；如果是一般的配置信息，則可使用 ConfigMap。
Secret 和 ConfigMap 支持四種定義方法。Pod 在使用它們時，可以選擇 Volume 方式或環(huán)境變量方式，不過只有 Volume 方式支持動態(tài)更新。
當(dāng)前名稱：k8s之安全信息(secret)及配置信息(configmap)管理
網(wǎng)站網(wǎng)址：http://m.jiaotiyi.com/article/gcpooh.html