Kubernetes 集群中使用 ConfigMap 与 Secret 实现配置动态管理的步骤

在 Kubernetes 中，ConfigMap 用于存储非敏感配置数据（如配置文件、环境变量），而 Secret 用于存储敏感数据（如密码、API 密钥）。实现配置动态管理的关键是确保应用能自动重载配置，而无需重启 Pod。以下是详细步骤，基于 Kubernetes 官方最佳实践，所有操作通过 kubectl 命令行工具完成。

步骤 1: 准备配置文件和敏感数据

• ConfigMap 数据：创建一个配置文件（如 app-config.yaml），内容为键值对或完整文件。

  # 示例：app-config.yaml
  apiVersion: v1
  kind: ConfigMap
  metadata:
    name: app-config
  data:
    config.yaml: |
      server:
        port: 8080
      logging:
        level: info
  

• Secret 数据：创建一个敏感文件（如 db-secret.yaml），使用 Base64 编码敏感值（可通过 echo -n "password" | base64 生成）。

  # 示例：db-secret.yaml
  apiVersion: v1
  kind: Secret
  metadata:
    name: db-secret
  type: Opaque
  data:
    username: dXNlcg==  # user 的 Base64 编码
    password: cGFzc3dvcmQ=  # password 的 Base64 编码
  

步骤 2: 创建 ConfigMap 和 Secret

• 应用 YAML 文件创建资源：

  kubectl apply -f app-config.yaml  # 创建 ConfigMap
  kubectl apply -f db-secret.yaml   # 创建 Secret
  

• 验证创建：

  kubectl get configmap app-config  # 检查 ConfigMap
  kubectl get secret db-secret     # 检查 Secret（敏感数据会隐藏）
  

步骤 3: 在 Pod 或 Deployment 中引用 ConfigMap 和 Secret

创建 Deployment YAML 文件（如 app-deployment.yaml），使用卷挂载方式实现动态更新：

# 示例：app-deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-deployment
spec:
  replicas: 2
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: app-container
        image: my-app-image:latest
        volumeMounts:
        - name: config-volume  # 挂载 ConfigMap 作为卷
          mountPath: /etc/config
        - name: secret-volume  # 挂载 Secret 作为卷
          mountPath: /etc/secret
      volumes:
      - name: config-volume
        configMap:
          name: app-config    # 引用 ConfigMap
      - name: secret-volume
        secret:
          secretName: db-secret  # 引用 Secret

步骤 4: 部署应用并测试动态管理

• 部署应用：

  kubectl apply -f app-deployment.yaml
  

• 动态更新配置：
  • 修改 ConfigMap 或 Secret（如更新 app-config.yaml 中的日志级别）：

    kubectl apply -f app-config.yaml  # 更新 ConfigMap
    

  • Kubernetes 会自动更新挂载卷中的文件（通常几秒内生效）。
  • 应用需支持热重载：例如在容器中添加脚本监听文件变化（如使用 inotifywait）或使用支持自动重载的框架（如 Spring Boot Actuator）。

    # 示例容器内重载脚本（简化）
    inotifywait -m /etc/config -e modify | while read; do
      echo "Config updated, reloading app..."
      # 触发应用重载逻辑，如发送 SIGHUP 信号
    done
    

• 测试更新：
  • 检查 Pod 日志确认配置重载：

    kubectl logs <pod-name> | grep "reload"
    

  • 验证敏感数据安全：Secret 数据在卷中以临时文件形式存储，且 Kubernetes 自动处理加密。

步骤 5: 监控和维护

• 监控配置状态：

  kubectl describe configmap app-config  # 查看 ConfigMap 详情
  kubectl describe secret db-secret     # 查看 Secret 详情（不显示敏感值）
  

• 回滚配置：如果更新出错，恢复旧版本：

  kubectl rollout undo deployment/app-deployment  # 回滚 Deployment
  

注意事项

• 动态更新限制：环境变量方式不支持动态更新，因此必须使用卷挂载。
• 安全最佳实践：
  • Secret 数据始终加密存储，避免在 YAML 文件中明文写入。
  • 使用 RBAC 限制对 ConfigMap 和 Secret 的访问权限。
• 应用适配：确保应用代码能处理配置重载（如通过文件监听或 API 端点）。
• Kubernetes 版本：此方法适用于 v1.9+ 版本，旧版本行为可能不同。

通过以上步骤，ConfigMap 和 Secret 的更新会实时同步到 Pod 中，实现配置的动态管理。如果遇到问题，检查 Pod 事件（kubectl describe pod <pod-name>）或查阅 Kubernetes 官方文档。