1. Secret基础概念与核心价值

Secret是Kubernetes中专门用于存储敏感信息的资源对象，比如数据库密码、API密钥、TLS证书等。与ConfigMap不同，Secret的内容默认会经过Base64编码（注意：编码不等于加密）。在实际生产环境中，我曾经遇到过开发者误将ConfigMap用于存储凭证的情况，这就像把家门钥匙挂在门口一样危险。

Secret的核心价值在于：

• 安全隔离 ：将敏感数据与Pod定义、容器镜像解耦
• 细粒度控制 ：可以通过RBAC控制访问权限
• 动态更新 ：支持不重启Pod的情况下更新挂载的Secret（环境变量方式除外）

举个例子，我们团队曾经管理着一个包含300+微服务的集群，通过Secret统一管理所有服务的数据库凭证，当需要轮换密码时，只需更新Secret而无需重新部署服务。

2. Secret类型详解与实战应用

2.1 Opaque类型

这是最常用的Secret类型，适用于自定义的键值对数据。创建方式有两种：

# 命令行创建
echo -n 'admin' > username.txt
echo -n 'S!B\*d$zDsb=' > password.txt
kubectl create secret generic db-creds \
  --from-file=username=username.txt \
  --from-file=password=password.txt

# YAML文件创建
apiVersion: v1
kind: Secret
metadata:
  name: db-creds
type: Opaque
data:
  username: YWRtaW4=  # echo -n 'admin' | base64
  password: UyFCKmQkenhEc2I9  # 注意特殊字符需要转义

2.2 kubernetes.io/dockerconfigjson

这是管理私有镜像仓库认证信息的专用类型。我们在生产环境中使用Harbor作为私有仓库时，这样创建：

kubectl create secret docker-registry harbor-creds \
  --docker-server=harbor.example.com \
  --docker-username=devops \
  --docker-password=p@ssw0rd123 \
  --docker-email=team@example.com

2.3 kubernetes.io/tls

管理TLS证书的最佳选择。曾经我们在为Ingress配置HTTPS时这样使用：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout tls.key -out tls.crt -subj "/CN=example.com"
kubectl create secret tls example-tls \
  --cert=tls.crt --key=tls.key

2.4 其他内置类型

• service-account-token ：ServiceAccount自动创建
• basic-auth ：HTTP基本认证凭据
• ssh-auth ：SSH密钥认证

3. Secret安全最佳实践

3.1 静态加密配置

默认情况下，Secret以明文存储在etcd中。我们需要启用静态加密：

1. 创建加密配置文件encryption-config.yaml：

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
      - secrets
    providers:
      - aescbc:
          keys:
            - name: key1
              secret: <base64-encoded-32-byte-key>
      - identity: {}  # 允许读取未加密的现有Secret

2. 修改API Server启动参数：

--encryption-provider-config=/etc/kubernetes/encryption-config.yaml

3.2 最小权限原则

必须严格限制Secret的访问权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: production
  name: secret-reader
rules:
- apiGroups: [""]
  resources: ["secrets"]
  resourceNames: ["db-creds"]
  verbs: ["get"]

3.3 不可变Secret

Kubernetes 1.21+支持将Secret标记为不可变，防止意外修改：

apiVersion: v1
kind: Secret
metadata:
  name: my-secret
immutable: true
data:
  token: <base64-token>

4. Secret生命周期管理

4.1 自动更新策略

当使用Volume挂载方式时，Secret更新会自动同步到Pod。我们曾经通过这个特性实现证书轮换：

1. 更新Secret：

kubectl create secret tls updated-tls --cert=new.crt --key=new.key \
  --dry-run=client -o yaml | kubectl apply -f -

2. 观察Pod内文件变化（约1分钟同步周期）：

kubectl exec -it my-pod -- ls -l /etc/ssl/certs/

4.2 优雅更新技巧

对于需要重启才能生效的配置（如环境变量），可以采用以下方案：

1. 版本化Secret ：

kubectl create secret generic db-creds-v2 --from-literal=password=new-pass

2. 滚动更新Deployment引用新Secret

4.3 清理策略

删除不再使用的Secret时要注意：

# 检查引用关系
kubectl get pods --all-namespaces -o json | jq '.items[] | select(.spec.volumes[]?.secret?.secretName=="old-secret")'

# 安全删除
kubectl delete secret old-secret --cascade=background

5. 常见问题与解决方案

5.1 大小限制问题

Secret有1MB大小限制。对于大文件：

• 考虑分拆多个Secret
• 使用专用存储方案（如Vault）

5.2 特殊字符处理

包含 $ , ! 等字符时需要转义：

# 创建包含特殊字符的Secret
kubectl create secret generic special-chars \
  --from-literal=password='S!B\*d$zDsb='

5.3 调试技巧

查看Secret内容：

kubectl get secret my-secret -o jsonpath='{.data.password}' | base64 -d

检查挂载状态：

kubectl describe pod my-pod | grep -A5 Mounts

6. 进阶场景与工具集成

6.1 与Vault集成

对于更高安全要求的场景，我们使用Hashicorp Vault：

1. 安装Vault Sidecar Injector
2. 配置注解自动注入：

annotations:
  vault.hashicorp.com/agent-inject: "true"
  vault.hashicorp.com/role: "app-role"
  vault.hashicorp.com/agent-inject-secret-db-creds: "secret/data/database"

6.2 External Secrets Operator

这个工具可以自动同步外部秘钥管理系统中的Secret到Kubernetes：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: production-db-creds
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: vault-backend
    kind: SecretStore
  target:
    name: db-creds
  data:
  - secretKey: password
    remoteRef:
      key: /secret/data/production/db
      property: password

7. 监控与审计

7.1 事件监控

kubectl get events --watch --field-selector involvedObject.kind=Secret

7.2 审计日志配置

在API Server配置中添加：

- level: Metadata
  resources:
  - group: ""
    resources: ["secrets"]

8. 实战经验分享

在管理大型集群时，我们总结出这些经验：

1. 命名规范 ： <用途>-<环境>-v<版本> ，如 redis-prod-creds-v1
2. 定期轮换 ：建立证书和凭证的定期轮换机制
3. 备份策略 ：使用Velero备份关键Secret
4. 跨集群同步 ：使用Cluster API或ArgoCD同步多集群Secret

曾经有一次，我们因为未及时轮换过期的TLS证书导致生产环境中断。从那以后，我们建立了完善的证书监控体系，提前30天告警即将过期的证书。

对于真正高敏感的场景，建议结合服务网格（如Istio）的证书管理能力，或者使用专用硬件安全模块（HSM）。这些方案虽然复杂，但对于金融级应用是必要的。