使用配置文件管理 Secret

准备工作

你必须拥有一个 Kubernetes 集群，并且 kubectl 命令行工具必须配置为与你的集群通信。建议在至少有两个不作为控制平面主机的节点组成的集群上运行本教程。如果你还没有集群，你可以使用 minikube 创建一个，或者你可以使用这些 Kubernetes 试验场之一。

• iximiuz Labs
• Killercoda
• KodeKloud
• Play with Kubernetes

创建 Secret

你可以先以 JSON 或 YAML 格式在清单中定义 Secret 对象，然后创建该对象。 Secret 资源包含两个映射：data 和 stringData。 data 字段用于存储使用 base64 编码的任意数据。stringData 字段是为了方便起见而提供的，它允许你提供未编码的字符串形式的相同数据。 data 和 stringData 的键必须由字母数字字符、-、_ 或 . 组成。

以下示例使用 data 字段在 Secret 中存储两个字符串。

1. 将字符串转换为 base64

   echo -n 'admin' | base64
   echo -n '1f2d1e2e67df' | base64
   

   注意

   Secret 数据的序列化 JSON 和 YAML 值编码为 base64 字符串。这些字符串中不允许有换行符，必须省略。在 Darwin/macOS 上使用 base64 工具时，用户应避免使用 -b 选项来拆分长行。相反，如果 -w 选项不可用，Linux 用户**应**在 base64 命令中添加 -w 0 选项或使用管道 base64 | tr -d '\n'。

   输出类似于：

   YWRtaW4=
   MWYyZDFlMmU2N2Rm
   

2. 创建清单

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque
   data:
     username: YWRtaW4=
     password: MWYyZDFlMmU2N2Rm
   

   请注意，Secret 对象的名称必须是有效的 DNS 子域名。

3. 使用 kubectl apply 创建 Secret

   kubectl apply -f ./secret.yaml
   

   输出类似于：

   secret/mysecret created
   

要验证 Secret 是否已创建并解码 Secret 数据，请参阅使用 kubectl 管理 Secret。

创建 Secret 时指定未编码的数据

在某些场景下，你可能希望使用 stringData 字段。该字段允许你将非 base64 编码的字符串直接放入 Secret 中，当 Secret 创建或更新时，该字符串将为你编码。

一个实际的例子是，当你部署一个使用 Secret 存储配置文件的应用程序时，你希望在部署过程中填充该配置文件的一部分。

例如，如果你的应用程序使用以下配置文件：

apiUrl: "https://my.api.com/api/v1"
username: "<user>"
password: "<password>"

你可以使用以下定义将其存储在 Secret 中：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
stringData:
  config.yaml: |
    apiUrl: "https://my.api.com/api/v1"
    username: <user>
    password: <password>    

当你检索 Secret 数据时，该命令返回编码后的值，而不是你在 stringData 中提供的明文值。

例如，如果你运行以下命令：

kubectl get secret mysecret -o yaml

输出类似于：

apiVersion: v1
data:
  config.yaml: YXBpVXJsOiAiaHR0cHM6Ly9teS5hcGkuY29tL2FwaS92MSIKdXNlcm5hbWU6IHt7dXNlcm5hbWV9fQpwYXNzd29yZDoge3twYXNzd29yZH19
kind: Secret
metadata:
  creationTimestamp: 2018-11-15T20:40:59Z
  name: mysecret
  namespace: default
  resourceVersion: "7225"
  uid: c280ad2e-e916-11e8-98f2-025000000001
type: Opaque

同时指定 data 和 stringData

如果你在 data 和 stringData 中都指定了一个字段，则使用 stringData 中的值。

例如，如果你定义以下 Secret：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
stringData:
  username: administrator

Secret 对象创建如下：

apiVersion: v1
data:
  username: YWRtaW5pc3RyYXRvcg==
kind: Secret
metadata:
  creationTimestamp: 2018-11-15T20:46:46Z
  name: mysecret
  namespace: default
  resourceVersion: "7579"
  uid: 91460ecb-e917-11e8-98f2-025000000001
type: Opaque

YWRtaW5pc3RyYXRvcg== 解码为 administrator。

编辑 Secret

要编辑使用清单创建的 Secret 中的数据，请修改清单中的 data 或 stringData 字段，然后将文件应用到集群。你可以编辑现有的 Secret 对象，除非它不可变。

例如，如果你想将前面示例中的密码更改为 birdsarentreal，请执行以下操作：

1. 编码新密码字符串

   echo -n 'birdsarentreal' | base64
   

   输出类似于：

   YmlyZHNhcmVudHJlYWw=
   

2. 使用新密码字符串更新 data 字段

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque
   data:
     username: YWRtaW4=
     password: YmlyZHNhcmVudHJlYWw=
   

3. 将清单应用到你的集群

   kubectl apply -f ./secret.yaml
   

   输出类似于：

   secret/mysecret configured
   

Kubernetes 会更新现有的 Secret 对象。具体而言，kubectl 工具会注意到存在同名的 Secret 对象。kubectl 会获取现有对象，规划对其的更改，并将更改后的 Secret 对象提交给你的集群控制平面。

如果你指定了 kubectl apply --server-side，kubectl 会改为使用服务器端应用。

清理

要删除你创建的 Secret

kubectl delete secret mysecret

下一步

• 阅读更多关于Secret 概念的信息
• 了解如何使用 kubectl 管理 Secret
• 了解如何使用 Kustomize 管理 Secret