使用配置文件管理 Secret

使用资源配置文件创建 Secret 对象。

准备开始

您需要有一个 Kubernetes 集群,并且必须配置 kubectl 命令行工具与您的集群通信。建议在至少有两个节点的集群上运行本教程,这些节点不充当控制平面主机。如果您还没有集群,可以使用 minikube 创建一个,或者使用这些 Kubernetes 游乐场之一

创建 Secret

您可以首先在清单中以 JSON 或 YAML 格式定义 Secret 对象,然后创建该对象。 Secret 资源包含两个映射:datastringDatadata 字段用于存储任意数据,使用 base64 编码。 stringData 字段是为了方便起见而提供的,它允许您提供与未编码字符串相同的数据。 datastringData 的键必须由字母数字字符、-_. 组成。

以下示例使用 data 字段在 Secret 中存储两个字符串。

  1. 将字符串转换为 base64

    echo -n 'admin' | base64
    echo -n '1f2d1e2e67df' | base64
    

    输出类似于

    YWRtaW4=
    MWYyZDFlMmU2N2Rm
    
  2. 创建清单

    apiVersion: v1
    kind: Secret
    metadata:
      name: mysecret
    type: Opaque
    data:
      username: YWRtaW4=
      password: MWYyZDFlMmU2N2Rm
    

    请注意,Secret 对象的名称必须是有效的 DNS 子域名

  3. 使用 kubectl apply 创建 Secret

    kubectl apply -f ./secret.yaml
    

    输出类似于

    secret/mysecret created
    

要验证 Secret 是否已创建并解码 Secret 数据,请参阅 使用 kubectl 管理 Secret

创建 Secret 时指定未编码的数据

在某些情况下,您可能希望改用 stringData 字段。 此字段允许您将非 base64 编码的字符串直接放入 Secret 中,并且当创建或更新 Secret 时,该字符串将为您编码。

一个实际的例子可能是,您正在部署一个使用 Secret 来存储配置文件的应用程序,并且您希望在部署过程中填充该配置文件的部分内容。

例如,如果您的应用程序使用以下配置文件

apiUrl: "https://my.api.com/api/v1"
username: "<user>"
password: "<password>"

您可以使用以下定义将其存储在 Secret 中

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
stringData:
  config.yaml: |
    apiUrl: "https://my.api.com/api/v1"
    username: <user>
    password: <password>    

当您检索 Secret 数据时,该命令返回的是编码值,而不是您在 stringData 中提供的明文值。

例如,如果您运行以下命令

kubectl get secret mysecret -o yaml

输出类似于

apiVersion: v1
data:
  config.yaml: YXBpVXJsOiAiaHR0cHM6Ly9teS5hcGkuY29tL2FwaS92MSIKdXNlcm5hbWU6IHt7dXNlcm5hbWV9fQpwYXNzd29yZDoge3twYXNzd29yZH19
kind: Secret
metadata:
  creationTimestamp: 2018-11-15T20:40:59Z
  name: mysecret
  namespace: default
  resourceVersion: "7225"
  uid: c280ad2e-e916-11e8-98f2-025000000001
type: Opaque

同时指定 datastringData

如果您在 datastringData 中都指定了字段,则使用 stringData 中的值。

例如,如果您定义以下 Secret

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
stringData:
  username: administrator

Secret 对象创建如下

apiVersion: v1
data:
  username: YWRtaW5pc3RyYXRvcg==
kind: Secret
metadata:
  creationTimestamp: 2018-11-15T20:46:46Z
  name: mysecret
  namespace: default
  resourceVersion: "7579"
  uid: 91460ecb-e917-11e8-98f2-025000000001
type: Opaque

YWRtaW5pc3RyYXRvcg== 解码为 administrator

编辑 Secret

要编辑使用清单创建的 Secret 中的数据,请修改清单中的 datastringData 字段,并将该文件应用到您的集群。您可以编辑现有的 Secret 对象,除非它是 不可变的

例如,如果您想将上一个示例中的密码更改为 birdsarentreal,请执行以下操作

  1. 编码新的密码字符串

    echo -n 'birdsarentreal' | base64
    

    输出类似于

    YmlyZHNhcmVudHJlYWw=
    
  2. 使用新的密码字符串更新 data 字段

    apiVersion: v1
    kind: Secret
    metadata:
      name: mysecret
    type: Opaque
    data:
      username: YWRtaW4=
      password: YmlyZHNhcmVudHJlYWw=
    
  3. 将清单应用到您的集群

    kubectl apply -f ./secret.yaml
    

    输出类似于

    secret/mysecret configured
    

Kubernetes 更新现有的 Secret 对象。 详细地说,kubectl 工具会注意到存在一个具有相同名称的现有 Secret 对象。 kubectl 获取现有对象,计划对其进行更改,并将更改后的 Secret 对象提交到您的集群控制平面。

如果您改为指定 kubectl apply --server-side,则 kubectl 将使用 服务器端应用

清理

要删除您创建的 Secret

kubectl delete secret mysecret

下一步

上次修改时间:2023 年 10 月 09 日下午 9:53 PST:更新 managing-secret-using-config-file.md (cf83760309)