一个应用从开发到上线，配置往往要换好几副面孔：在代码仓库里是 YAML，进入集群后是 ConfigMap 和 Secret，落到容器里可能是环境变量或挂载文件，到了多环境还要处理差异，最后还得保证集群状态和仓库一致。K8s 没有用一个大而全的对象包办这些事，而是把任务拆给了一组各司其职的机制。把这些机制按顺序排开，就是一条从配置定义到持续同步的链路：
ConfigMap/Secret（定义配置）---> Volume/Env（注入方式）---> Kustomize（多环境管理）---> Argo CD（GitOps 持续同步）
其中，ConfigMap 和 Secret 负责定义配置，Volume 和 Env 负责把配置注入 Pod，Kustomize 负责多环境下的差异管理，Argo CD 则负责把最终配置持续同步到集群。每一环都解决上一环留下的问题，串起来之后，配置管理就不再是零散的对象和工具，而是一个有顺序的流程。
ConfigMap 与 Secret：配置的源头
ConfigMap 和 Secret 是配置的起点，他们实现了配置与镜像的解耦。ConfigMap 用来存非敏感的配置，比如应用的环境变量、配置文件内容、命令行参数；Secret 用来存敏感信息，比如密码、Token、证书。它们本质上都是键值对，只是 Secret 在存储时会做 base64 编码。这里有一个基础但容易被误解的点：base64 不是加密，它只是一种编码方式，任何能读取 Secret 对象的人都能解码出原始内容。所以 Secret 的安全不能只靠它本身，还需要配合 etcd 加密、RBAC 限制访问，以及后续注入方式的控制。ConfigMap 和 Secret 定义好了配置数据，但它们本身只是集群里的对象，还没有进入任何容器，接下来要解决的问题就是怎么让 Pod 用上这些配置。
Volume 与 Env：配置进入容器的方式
这就引出了 Volume 和 Env 两种注入方式。环境变量注入是最简单的一种，把 ConfigMap 或 Secret 的某个键映射成容器里的环境变量，应用启动时直接读取。这种方式适合那些启动后不再变化的配置，因为环境变量在容器启动后就是固定的，配置更新了也不会自动生效，通常需要重启 Pod 才能重新读取。另一种方式是 Volume 挂载，把 ConfigMap 或 Secret 以文件的形式挂载到容器里。Secret 挂载时使用的是 tmpfs，不会写到节点磁盘上，这一点在安全上比较重要。Volume 方式的好处是配置可以热更新，kubelet 会定期同步挂载的文件，但应用需要自己感知文件变化，比如监听文件系统事件或者定期重新读取。所以选择哪种注入方式，取决于应用能不能处理配置更新，以及配置本身是否敏感。注入方式解决的是配置如何进入 Pod，但当应用需要在多个环境里运行时，每个环境的配置都有差异，手动维护每个环境的 ConfigMap 和 Secret 会变得很麻烦，这就轮到 Kustomize 出场了。
Kustomize：多环境差异的组织
Kustomize 解决的是多环境管理问题。它的思路很直接：用一个 base 定义所有环境共用的部分，再用 overlay 定义每个环境的差异，通过 patch 的方式覆盖或补充。它不依赖模板语言，操作的都是原生 YAML，所以学习成本比较低，而且 kubectl 已经内置了它。Kustomize 可以管理 ConfigMap 和 Secret 的生成，也可以对 Deployment、Service 等资源做 patch。比如开发环境和生产环境的镜像版本不同、副本数不同、配置值不同，都可以在 overlay 里单独指定，而不用复制整份 YAML。它和 Helm 的区别在于，Helm 更偏向模板渲染和包管理，Kustomize 更贴近原生声明式的方式，两者也可以结合使用。Kustomize 把多环境的配置差异组织清楚了，但它输出的仍然是一份份最终的 YAML，接下来还需要一种机制把这些 YAML 持续、可靠地应用到集群里，这就是 Argo CD 要解决的问题。
Argo CD：持续同步与闭环
Argo CD 是 GitOps 的代表工具，它的核心思想是把 Git 仓库作为唯一的事实来源。集群里应该运行什么，完全由 Git 里的声明式配置决定。Argo CD 会持续监听 Git 仓库的变化，把仓库里的期望状态和集群里的实际状态做对比，如果发现不一致，就可以自动或手动同步。它可以直接集成 Kustomize，读取 overlay 并渲染出最终资源，然后应用到集群。这样一来，配置的变更就不再是手动执行 kubectl apply，而是通过修改 Git 仓库、提交合并请求来触发。Argo CD 还会持续监控同步状态和健康状态，如果集群里有人手动改了配置，它会检测到偏差并可以自动纠正。这一步把前面几个环节串了起来：ConfigMap 和 Secret 定义配置，Volume 和 Env 决定怎么注入，Kustomize 组织多环境差异，Argo CD 则把这些最终配置持续同步到集群，形成一个闭环。
把这条链路放在一起看，衔接关系就很清楚了。ConfigMap 和 Secret 是配置的源头，它们定义了"有什么配置"；Volume 和 Env 是注入方式，决定了"配置怎么进入容器"；Kustomize 是多环境管理，解决了"不同环境配置怎么组织"；Argo CD 是持续同步，保证了"配置怎么可靠地生效"。从定义到注入，到多环境，再到持续同步，每一环都在弥补上一环的不足。沿着这条链路检查时，可以依次问自己：配置有没有从镜像里解耦出来，敏感信息有没有用 Secret 并且控制了访问，注入方式是不是适合应用，多环境差异有没有用 Kustomize 管理，最终有没有通过 Argo CD 持续同步。几个问题过一遍，配置管理的链路基本就完整了。