本章节展示了如何把密码秘钥等敏感数据安全的注入到Pod里面。
转换安全数据成base-64表示
假设你有两个秘密数据：一个用户名my-app和一个密码39528$vdg7Jb。首先使用Base64-encoding转换用户名和密码用base-64来表示。下面是一个用Linux转换的例子：
echo -n 'my-app' | base64
echo -n '39528$vdg7Jb' | base64
输出展示了用户名转换以后的字符串是bXktYXBw，密码转换以后是Mzk1MjgkdmRnN0pi。
创建一个Secret
下面是一个配置文件创建一个Secret来保存用户名和密码：
apiVersion: v1
kind: Secret
metadata:
name: test-secret
data:
username: bXktYXBwCg==
password: Mzk1MjgkdmRnN0piCg==
1.创建Secret
kubectl create -f secret.yaml
注意：如果你想跳过Base64转码的步骤，可以使用kubectl create secret命令创建Secret：
kubectl create secret generic test-secret --from-literal=username='my-app',password='39528$vdg7Jb'
2.查看Secret的详细信息：
kubectl get secret test-secret
输出：
NAME TYPE DATA AGE
test-secret Opaque 2 1m
3.查看更多详细信息：
kubectl describe secret test-secret
输出：
Name: test-secret
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
====
password: 13 bytes
username: 7 bytes
创建一个Pod通过卷访问秘密数据
下面是一个配置文件可以用来创建一个Pod：
apiVersion: v1
kind: Pod
metadata:
name: secret-test-pod
spec:
containers:
- name: test-container
image: nginx
volumeMounts:
# name must match the volume name below
- name: secret-volume
mountPath: /etc/secret-volume
# The secret data is exposed to Containers in the Pod through a Volume.
volumes:
- name: secret-volume
secret:
secretName: test-secret
1.创建Pod：
kubectl create -f secret-pod.yaml
2.验证Pod是否运行：
kubectl get pod secret-test-pod
输出：
NAME READY STATUS RESTARTS AGE
secret-test-pod 1/1 Running 0 42m
3.使用shell进入到pod运行的容器里面：
kubectl exec -it secret-test-pod -- /bin/bash
4.这个秘密数据公开在容器/etc/secret-volume目录里面通过卷挂载的方式。进入这个目录，并查看这个数据：
root@secret-test-pod:/# cd /etc/secret-volume
5.在shell里面查看/etc/secret-volume目录下的文件：
root@secret-test-pod:/etc/secret-volume# ls
输出展示了两个文件，每一个都对应相应的秘密数据：
password username
输出是用户名和密码：
my-app
39528$vdg7Jb
创建Pod通过环境变量访问秘密数据
下面是一个创建Pod的配置文件：
apiVersion: v1
kind: Pod
metadata:
name: secret-envars-test-pod
spec:
containers:
- name: envars-test-container
image: nginx
env:
- name: SECRET_USERNAME
valueFrom:
secretKeyRef:
name: test-secret
key: username
- name: SECRET_PASSWORD
valueFrom:
secretKeyRef:
name: test-secret
key: password
1.创建Pod：
kubectl create -f secret-envars-pod.yaml
2.验证Pod是否已经运行：
kubectl get pod secret-envars-test-pod
输出：
NAME READY STATUS RESTARTS AGE
secret-envars-test-pod 1/1 Running 0 4m
3.用shell进入Pod运行的容器里面：
kubectl exec -it secret-envars-test-pod -- /bin/bash
4.在shell里面展示环境变量：
root@secret-envars-test-pod:/# printenv
输出包含用户名和密码：
...
SECRET_USERNAME=my-app
...
SECRET_PASSWORD=39528$vdg7Jb
