一、Secret介绍
在Kubernetes集群资源中，Secret对象与ConfigMap对象类似，但它主要是用于存储小片敏感的需要加密的数据，例如密码，token和SSH key密钥等等。这类数据当然也可以存放在Pod的定义中或者镜像中，但是放在Secret中是为了更方便的控制如何使用数据，更加安全和灵活，并减少信息暴露的风险。在secret中存储的数据都需要通过base64进行转换加密后存放。Secret解决了密码、token、密钥等敏感数据的配置问题，使用Secret可以避免把这些敏感数据以明文的形式暴露到镜像或者Pod Spec中。用户可以创建自己的secret，系统也会有自己的secret。
Secret一旦被创建，则可以通过以下三种方式来使用：
- 在创建Pod时，通过为pod指定Service Account来自动使用该Secret，主要用于API Server鉴权的过程；
- 通过挂载Secret到Pod来使用它。即作为volume的一个域被一个或多个容器挂载；
- Docker镜像下载时使用，通过指定Pod的spc.ImagePullSecret来引用。一般用于私有仓库登录拉取镜像。即在拉取镜像的时候被kubelet引用。
Kubernetes集群中有內建的Secrets：即由ServiceAccount创建的API证书附加的秘钥，Kubernetes会自动生成的用来访问apiserver的Secret，所有Pod会默认使用这个Secret与apiserver通信。这是Kubernetes 默认的行为，也可以通过自定义的方式禁用或者创建我们所需要的Secret。
通过kubectl get secrets即可查看默认的secrets
Secret有三种类型
- Opaque：使用base64编码存储信息，可以通过base64 --decode解码获得原始数据，因此安全性弱。
- kubernetes.io/dockerconfigjson：用于存储docker registry的认证信息。
- kubernetes.io/service-account-token （即Service Account）：用于被 serviceaccount 引用。serviceaccout 创建时，Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount，对应的 secret 会自动挂载到 Pod 的
/run/secrets/kubernetes.io/serviceaccount目录中。Service Account 是内置secret，使用 API 凭证自动创建和附加secret。Kubernetes 自动创建包含访问API凭据的secret，并自动修改pod以使用此类型的secret。如果需要，可以禁用或覆盖自动创建和使用API凭据。但是，如果需要的只是安全地访问apiserver，则推荐这样的工作流程。
二、Secret的使用
1、Service Account
用于被 serviceaccount 引用。serviceaccout 创建时 Kubernetes 会默认创建对应的 secret。Pod 如果使用了 serviceaccount，对应的 secret 会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。
[root@k8s-master01 ~]# kubectl run kevin_nginx --image nginx
deployment "nginx" created
[root@k8s-master01 ~]# kubectl get pods
NAME READY STATUS RESTARTS AGE
kevin_nginx-3137573019-md1u2 1/1 Running 0 13s
[root@k8s-master01 ~]# kubectl exec kevin_nginx-3137573019-md1u2 ls /run/secrets/kubernetes.io/serviceaccount
ca.crt
namespace
token
2、Opaque Secret
A、创建
Opaque 类型的数据是一个 map 类型，要求 value 是 base64 编码格式：
$ echo-n"admin" | base64
YWRtaW4=
$ echo-n"1f2d1e2e67df" | base64
MWYyZDFlMmU2N2Rm
secrets.yml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
data:
password: MWYyZDFlMmU2N2Rm
username: YWRtaW4=
B、使用方式
- 1)、将 Secret 挂载到 Volume 中
apiVersion: v1
kind: Pod
metadata:
labels:
name: seret-test
name: seret-test
spec:
volumes:
- name: secrets
secret:
secretName: mysecret
containers:
- image: hub.atguigu.com/library/myapp:v1
name: db
volumeMounts:
- name: secrets
mountPath: "/etc/secrets"
readOnly: true
- 2)、将 Secret 导出到环境变量中
apiVersion: extensions/v1beta1
kind: Deployment
metadata:
name: pod-deployment
spec:
replicas: 2
template:
metadata:
labels:
app: pod-deployment
spec:
containers:
- name: pod-1
image: hub.atguigu.com/library/myapp:v1
ports:
- containerPort: 80
env:
- name: TEST_USER
valueFrom:
secretKeyRef:
name: mysecret
key: username
- name: TEST_PASSWORD
valueFrom:
secretKeyRef:
name: mysecret
key: password
3、kubernetes.io/dockerconfigjson
kubernetes.io/dockerconfigjson用于存储docker registry的认证信息，可以直接使用kubectl create secret命令创建：
[root@k8s-master01 ~]# kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
secret/myregistrykey created
在创建 Pod 的时候，通过 imagePullSecrets 来引用刚创建的 myregistrykey:
apiVersion: v1
kind: Pod
metadata:
name: data
spec:
containers:
- name: data
image: janedoe/awesomeapp:v1
imagePullSecrets:
- name: myregistrykey
