K8S之Secret的介绍和使用

Secret

Secret的介绍

Secret是一种保护敏感数据的资源对象。例如:密码、token、秘钥等,而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。

Pod 可以用两种方式使用 secret:作为 volume 中的文件被挂载到 pod 中的一个或者多个容器里,或者当 kubelet 为 pod 拉取镜像时使用。

secret可选参数有三种:

  • generic: 通用类型,通常用于存储密码数据。
  • tls:此类型仅用于存储私钥和证书。
  • docker-registry: 若要保存docker仓库的认证信息的话,就必须使用此种类型来创建。

Secret类型:

  • Service Account:用于被 serviceaccount 引用。serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount,对应的 secret 会自动挂载到 Pod 的/run/secrets/kubernetes.io/serviceaccount 目录中。

  • Opaque:base64编码格式的Secret,用来存储密码、秘钥等。可以通过base64 --decode解码获得原始数据,因此安全性弱

  • kubernetes.io/dockerconfigjson:用来存储私有docker registry的认证信息。

Secret的使用

通过环境变量引入Secret

1、把mysql的root用户的password创建成secret

bash 复制代码
kubectl create secret generic mysql-password --from-literal=password=admin**lucky66
bash 复制代码
kubectl get secret
bash 复制代码
kubectl describe secret mysql-password

password的值是加密的,但secret的加密是一种伪加密,它仅仅是将数据做了base64的编码

2、创建pod,引用secret

bash 复制代码
vim pod-secret.yaml 
yaml 复制代码
apiVersion: v1
kind: Pod
metadata:
  name: pod-secret
  labels:
     app: myapp
spec:
  containers:
  - name: myapp
    image: myapp:v1
    imagePullPolicy: IfNotPresent
    ports:
    - name: http
      containerPort: 80
    env:
     - name: MYSQL_ROOT_PASSWORD   #Pod启动成功后,Pod中容器的环境变量名.
       valueFrom:
          secretKeyRef:
            name: mysql-password  # secret的对象名
            key: password         # secret中的key名

更新资源清单文件

bash 复制代码
kubectl apply -f pod-secret.yaml
bash 复制代码
kubectl exec -it pod-secret -- /bin/sh
bash 复制代码
printenv

通过volume挂载Secret

1、创建Secret,并手动加密(基于base64加密)

bash 复制代码
echo -n 'admin' | base64

YWRtaW4=

bash 复制代码
echo -n 'admin123456' | base64

YWRtaW4xMjM0NTY=

解码:

bash 复制代码
echo YWRtaW4xMjM0NTY=  | base64 -d

2、创建yaml文件

bash 复制代码
vim secret.yaml
yaml 复制代码
apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  username: YWRtaW4=
  password: YWRtaW4xMjM0NTY=

更新资源清单文件

bash 复制代码
kubectl apply -f secret.yaml
bash 复制代码
kubectl describe secret mysecret

3、将Secret挂载到Volume中

bash 复制代码
vim pod_secret_volume.yaml
yaml 复制代码
apiVersion: v1
kind: Pod
metadata:
  name: pod-secret-volume
spec:
  containers:
  - name: myapp
    image: myapp:v1
    volumeMounts:
    - name: secret-volume
      mountPath: /etc/secret
      readOnly: true
  volumes:
  - name: secret-volume
    secret:
      secretName: mysecret

更新资源清单文件

bash 复制代码
kubectl apply -f pod_secret_volume.yaml
bash 复制代码
kubectl exec -it pod-secret-volume -- /bin/sh
bash 复制代码
ls /etc/secret
bash 复制代码
cat /etc/secret/username
bash 复制代码
cat /etc/secret/password

由上可见,在pod中的secret信息实际已经被解密

相关推荐
南猿北者1 小时前
docker容器
docker·容器
YCyjs2 小时前
K8S群集调度二
云原生·容器·kubernetes
Hoxy.R2 小时前
K8s小白入门
云原生·容器·kubernetes
€☞扫地僧☜€6 小时前
docker 拉取MySQL8.0镜像以及安装
运维·数据库·docker·容器
全能全知者7 小时前
docker快速安装与配置mongoDB
mongodb·docker·容器
为什么这亚子9 小时前
九、Go语言快速入门之map
运维·开发语言·后端·算法·云原生·golang·云计算
ZHOU西口10 小时前
微服务实战系列之玩转Docker(十八)
分布式·docker·云原生·架构·数据安全·etcd·rbac
牛角上的男孩11 小时前
Istio Gateway发布服务
云原生·gateway·istio
JuiceFS12 小时前
好未来:多云环境下基于 JuiceFS 建设低运维模型仓库
运维·云原生
景天科技苑13 小时前
【云原生开发】K8S多集群资源管理平台架构设计
云原生·容器·kubernetes·k8s·云原生开发·k8s管理系统