• 欢迎光临~

Secret

开发技术 开发技术 2022-12-26 次浏览

百度网盘链接:https://pan.baidu.com/s/15t_TSH5RRpCFXV-93JHpNw?pwd=8od3  提取码:8od3

16 Secret

16.1 Secret是什么?

上面我们学习的Configmap一般是用来存放明文数据的,如配置文件,对于一些敏感数据,如密码、私钥等数据时,要用secret类型。

Secret解决了密码、token、秘钥等敏感数据的配置问题,而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。

要使用 secret,pod 需要引用secret。Pod可以用两种方式使用secret:作为volume中的文件被挂载到pod中的一个或者多个容器里,或者当kubelet为pod拉取镜像时使用。

secret可选参数有三种:

generic: 通用类型,通常用于存储密码数据。
  tls:此类型仅用于存储私钥和证书。
  docker-registry: 若要保存docker仓库的认证信息的话,就必须使用此种类型来创建。

Secret类型:

Service Account:用于被serviceaccount引用。serviceaccout创建时Kubernetes会默认创建对应的secret。Pod 如果使用了serviceaccount,对应的secret会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中。

Opaque:base64编码格式的Secret,用来存储密码、秘钥等。可以通过base64 --decode解码获得原始数据,安全性弱。

kubernetes.io/dockerconfigjson:用来存储私有docker registry的认证信息。

16.2 使用Secret

16.2.1 通过环境变量引入Secret

把mysql的root用户的password创建成secret

[root@master1 ~]# kubectl create secret generic mysql-password --from-literal=password=pod**lucky66

[root@master1 ~]# kubectl get secret

NAME                          TYPE                                  DATA   AGE

mysql-password                Opaque                                1      30s

[root@master1 ~]# kubectl describe secret mysql-password

Name:         mysql-password

Namespace:    default

Labels:       <none>

Annotations:  <none>

Type:  Opaque

Data

====

password: 12bytes   #password的值是加密的,但secret的加密是一种伪加密,它仅仅是将数据做了base64的编码。

16.2.2 创建pod,引用secret

[root@master1 ~]# vim pod-secret.yaml

apiVersion: v1

kind: Pod

metadata:

  name: pod-secret

  labels:

    app: myapp

spec:

  containers:

  - name: myapp

    image: ikubernetes/myapp:v1

    imagePullPolicy: IfNotPresent

    ports:

    - name: http

      containerPort: 80

    env:

    - name: MYSQL_ROOT_PASSWORD    #它是Pod启动成功后,Pod中容器的环境变量名

      valueFrom:

        secretKeyRef:

          name: mysqlpassword      #这是secret的对象名

          key: password            #它是secret中的key名

[root@master1 ~]# kubectl apply -f pod-secret.yaml

[root@master1 ~]# kubectl exec -it pod-secret -- /bin/sh

/ # printenv

MYSQL_ROOT_PASSWORD=pod**lucky66

16.2.3 通过volume挂载Secret

1)创建Secret

[root@master1 ~]# echo -n 'admin' | base64    //手动加密,基于base64加密

YWRtaW4=

[root@master1 ~]# echo -n '123456' | base64

MTIzNDU2

[root@master1 ~]# echo MTIzNDU2 | base64 -d   //解码

2)创建yaml文件

[root@master1 ~]# vim secret.yaml

apiVersion: v1

kind: Secret

metadata:

  name: mysecret

type: Opaque

data:

  username: YWRtaW4=

  password: MTIzNDU2

[root@master1 ~]# kubectl apply -f secret.yaml

[root@master1 ~]# kubectl describe secret mysecret

Name:         mysecret

Namespace:    default

Labels:       <none>

Annotations:  <none>

 

Type:  Opaque

Data

====

password:  6 bytes

username:  5 bytes

3)将Secret挂载到Volume中

[root@master1 ~]# vim pod_secret_volume.yaml

apiVersion: v1

kind: Pod

metadata:

  name: pod-secret-volume

spec:

  containers:

  - name: myapp

    image: busybox:1.28

    imagePullPolicy: IfNotPresent

    command: ["/bin/sh","-c","sleep 3600"]

    volumeMounts:

    - name: secret-volume

      mountPath: /etc/secret

      readOnly: true

  volumes:

  - name: secret-volume

    secret:

      secretName: mysecret

[root@master1 ~]# kubectl apply -f pod_secret_volume.yaml

[root@master1 ~]# kubectl exec -it pod-secret-volume -- /bin/sh

/ # ls /etc/secret

password  username

/ # cat /etc/secret/username

admin

/ # cat /etc/secret/password

123456

由上可见,在pod中的secret信息实际已经被解密。

程序员灯塔
转载请注明原文链接:Secret
喜欢 (0)