Kubernetes——存储之Secret

一、Secret介绍

在Kubernetes集群资源中，Secret对象与ConfigMap对象类似，但它主要是用于存储小片敏感的需要加密的数据，例如密码，token和SSH key密钥等等。这类数据当然也可以存放在Pod的定义中或者镜像中，但是放在Secret中是为了更方便的控制如何使用数据，更加安全和灵活，并减少信息暴露的风险。在secret中存储的数据都需要通过base64进行转换加密后存放。Secret解决了密码、token、密钥等敏感数据的配置问题，使用Secret可以避免把这些敏感数据以明文的形式暴露到镜像或者Pod Spec中。用户可以创建自己的secret，系统也会有自己的secret。

Secret一旦被创建，则可以通过以下三种方式来使用：

在创建Pod时，通过为pod指定Service Account来自动使用该Secret，主要用于API Server鉴权的过程；
通过挂载Secret到Pod来使用它。即作为volume的一个域被一个或多个容器挂载；
Docker镜像下载时使用，通过指定Pod的spc.ImagePullSecret来引用。一般用于私有仓库登录拉取镜像。即在拉取镜像的时候被kubelet引用。

Kubernetes集群中有內建的Secrets：即由ServiceAccount创建的API证书附加的秘钥，Kubernetes会自动生成的用来访问apiserver的Secret，所有Pod会默认使用这个Secret与apiserver通信。这是Kubernetes 默认的行为，也可以通过自定义的方式禁用或者创建我们所需要的Secret。
通过kubectl get secrets即可查看默认的secrets

Secret有三种类型

Opaque：使用base64编码存储信息，可以通过base64 --decode解码获得原始数据，因此安全性弱。
kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。
kubernetes.io/service-account-token （即Service Account）：用于被 serviceaccount 引用。serviceaccout 创建时，Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount，对应的 secret 会自动挂载到 Pod 的/run/secrets/kubernetes.io/serviceaccount目录中。Service Account 是内置secret，使用 API 凭证自动创建和附加secret。Kubernetes 自动创建包含访问API凭据的secret，并自动修改pod以使用此类型的secret。如果需要，可以禁用或覆盖自动创建和使用API凭据。但是，如果需要的只是安全地访问apiserver，则推荐这样的工作流程。

二、Secret的使用

1、Service Account

用于被 serviceaccount 引用。serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount，对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。

[root@k8s-master01 ~]# kubectl run kevin_nginx --image nginx
deployment "nginx" created
 
[root@k8s-master01 ~]# kubectl get pods
NAME                           READY     STATUS    RESTARTS   AGE
kevin_nginx-3137573019-md1u2   1/1       Running   0          13s
 
[root@k8s-master01 ~]# kubectl exec kevin_nginx-3137573019-md1u2 ls /run/secrets/kubernetes.io/serviceaccount
ca.crt
namespace
token

2、Opaque Secret

A、创建
Opaque 类型的数据是一个 map 类型，要求 value 是 base64 编码格式：

$ echo-n"admin" | base64
YWRtaW4=

$ echo-n"1f2d1e2e67df" | base64
MWYyZDFlMmU2N2Rm

secrets.yml

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  password: MWYyZDFlMmU2N2Rm
  username: YWRtaW4=

B、使用方式

1)、将 Secret 挂载到 Volume 中

apiVersion: v1
kind: Pod
metadata:
  labels:
    name: seret-test
  name: seret-test
spec:
  volumes:
  - name: secrets
    secret:
      secretName: mysecret
  containers:
    - image: hub.atguigu.com/library/myapp:v1
      name: db
      volumeMounts:
      - name: secrets
        mountPath: "/etc/secrets"
        readOnly: true

2)、将 Secret 导出到环境变量中

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: pod-deployment
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: pod-deployment
    spec:
      containers:
        - name: pod-1
          image: hub.atguigu.com/library/myapp:v1
          ports:
          - containerPort: 80
          env:
          - name: TEST_USER
            valueFrom:
              secretKeyRef:
                name: mysecret
                key: username
          - name: TEST_PASSWORD
            valueFrom:
              secretKeyRef:
                name: mysecret
                key: password

3、kubernetes.io/dockerconfigjson

kubernetes.io/dockerconfigjson用于存储docker registry的认证信息，可以直接使用kubectl create secret命令创建：

[root@k8s-master01 ~]# kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
secret/myregistrykey created

在创建 Pod 的时候，通过 imagePullSecrets 来引用刚创建的 myregistrykey:

apiVersion: v1
kind: Pod
metadata:
  name: data
spec:
  containers:
    - name: data
      image: janedoe/awesomeapp:v1
  imagePullSecrets:
    - name: myregistrykey

参考：
https://www.cnblogs.com/kevingrace/p/10410114.html

https://www.cnblogs.com/LiuQizhong/p/11608944.html