使用配置文件管理 Secret
准备开始
您需要有一个 Kubernetes 集群,并且必须配置 kubectl 命令行工具与您的集群通信。建议在至少有两个节点的集群上运行本教程,这些节点不充当控制平面主机。如果您还没有集群,可以使用 minikube 创建一个,或者使用这些 Kubernetes 游乐场之一
创建 Secret
您可以首先在清单中以 JSON 或 YAML 格式定义 Secret
对象,然后创建该对象。 Secret 资源包含两个映射:data
和 stringData
。 data
字段用于存储任意数据,使用 base64 编码。 stringData
字段是为了方便起见而提供的,它允许您提供与未编码字符串相同的数据。 data
和 stringData
的键必须由字母数字字符、-
、_
或 .
组成。
以下示例使用 data
字段在 Secret 中存储两个字符串。
将字符串转换为 base64
echo -n 'admin' | base64 echo -n '1f2d1e2e67df' | base64
注意
Secret 数据的序列化 JSON 和 YAML 值编码为 base64 字符串。换行符在这些字符串中无效,必须省略。在 Darwin/macOS 上使用base64
实用程序时,用户应避免使用-b
选项来拆分长行。相反,如果-w
选项不可用,Linux 用户*应该* 将选项-w 0
添加到base64
命令或管道base64 | tr -d '\n'
。输出类似于
YWRtaW4= MWYyZDFlMmU2N2Rm
创建清单
apiVersion: v1 kind: Secret metadata: name: mysecret type: Opaque data: username: YWRtaW4= password: MWYyZDFlMmU2N2Rm
请注意,Secret 对象的名称必须是有效的 DNS 子域名。
使用
kubectl apply
创建 Secretkubectl apply -f ./secret.yaml
输出类似于
secret/mysecret created
要验证 Secret 是否已创建并解码 Secret 数据,请参阅 使用 kubectl 管理 Secret。
创建 Secret 时指定未编码的数据
在某些情况下,您可能希望改用 stringData
字段。 此字段允许您将非 base64 编码的字符串直接放入 Secret 中,并且当创建或更新 Secret 时,该字符串将为您编码。
一个实际的例子可能是,您正在部署一个使用 Secret 来存储配置文件的应用程序,并且您希望在部署过程中填充该配置文件的部分内容。
例如,如果您的应用程序使用以下配置文件
apiUrl: "https://my.api.com/api/v1"
username: "<user>"
password: "<password>"
您可以使用以下定义将其存储在 Secret 中
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
stringData:
config.yaml: |
apiUrl: "https://my.api.com/api/v1"
username: <user>
password: <password>
注意
Secret 的stringData
字段与服务器端应用配合不佳。当您检索 Secret 数据时,该命令返回的是编码值,而不是您在 stringData
中提供的明文值。
例如,如果您运行以下命令
kubectl get secret mysecret -o yaml
输出类似于
apiVersion: v1
data:
config.yaml: YXBpVXJsOiAiaHR0cHM6Ly9teS5hcGkuY29tL2FwaS92MSIKdXNlcm5hbWU6IHt7dXNlcm5hbWV9fQpwYXNzd29yZDoge3twYXNzd29yZH19
kind: Secret
metadata:
creationTimestamp: 2018-11-15T20:40:59Z
name: mysecret
namespace: default
resourceVersion: "7225"
uid: c280ad2e-e916-11e8-98f2-025000000001
type: Opaque
同时指定 data
和 stringData
如果您在 data
和 stringData
中都指定了字段,则使用 stringData
中的值。
例如,如果您定义以下 Secret
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
data:
username: YWRtaW4=
stringData:
username: administrator
注意
Secret 的stringData
字段与服务器端应用配合不佳。Secret
对象创建如下
apiVersion: v1
data:
username: YWRtaW5pc3RyYXRvcg==
kind: Secret
metadata:
creationTimestamp: 2018-11-15T20:46:46Z
name: mysecret
namespace: default
resourceVersion: "7579"
uid: 91460ecb-e917-11e8-98f2-025000000001
type: Opaque
YWRtaW5pc3RyYXRvcg==
解码为 administrator
。
编辑 Secret
要编辑使用清单创建的 Secret 中的数据,请修改清单中的 data
或 stringData
字段,并将该文件应用到您的集群。您可以编辑现有的 Secret
对象,除非它是 不可变的。
例如,如果您想将上一个示例中的密码更改为 birdsarentreal
,请执行以下操作
编码新的密码字符串
echo -n 'birdsarentreal' | base64
输出类似于
YmlyZHNhcmVudHJlYWw=
使用新的密码字符串更新
data
字段apiVersion: v1 kind: Secret metadata: name: mysecret type: Opaque data: username: YWRtaW4= password: YmlyZHNhcmVudHJlYWw=
将清单应用到您的集群
kubectl apply -f ./secret.yaml
输出类似于
secret/mysecret configured
Kubernetes 更新现有的 Secret
对象。 详细地说,kubectl
工具会注意到存在一个具有相同名称的现有 Secret
对象。 kubectl
获取现有对象,计划对其进行更改,并将更改后的 Secret
对象提交到您的集群控制平面。
如果您改为指定 kubectl apply --server-side
,则 kubectl
将使用 服务器端应用。
清理
要删除您创建的 Secret
kubectl delete secret mysecret
下一步
- 阅读有关 Secret 概念的更多信息
- 了解如何使用 kubectl 管理 Secret
- 了解如何使用 kustomize 管理 Secret