k8s之Secret & Configmap篇
Secret可以为Pod提供密码、Token、私钥等敏感数据;对于一些 非敏感数据,比如应用的配置信息,则可以用ConfigMapConfigMap的创建和使用方式与Secret非常类似,主要的不同是 数据以明文的形式存放Configmap能解决哪些问题?...
Sercret篇
概述
应用启动过程中可能需要一些敏感信息,比如访问数据库的用户 名、密码或者密钥。将这些信息直接保存在容器镜像中显然不妥, Kubernetes提供的解决方案是Secret。
Secret会以密文的方式存储数据,避免了直接在配置文件中保存 敏感信息。Secret会以Volume的形式被mount到Pod,容器可通过文件 的方式使用Secret中的敏感数据;此外,容器也可以环境变量的方式 使用这些数据。
Secret可通过命令行或YAML创建。比如希望Secret中包含如下信 息:用户名admin、密码123456。
创建secret
有四种方法创建Secret:
- 通过–from-literal:每个–from-literal对应一个信息条目。
# Create a new secret named my-secret with key1=supersecret and key2=topsecret
kubectl create secret generic my-secret --from-literal=key1=supersecret
--from-literal=key2=topsecret
- 通过–from-file:每个文件内容对应一个信息条目
echo -n admin > ./username
echo -n 123456 > ./password
kubectl create secret generic mysecret --from-file=./username ./password
- 通过–from-env-file:
文件env.txt中每行Key=Value对应一个信息条目
[root@master1 secret]# cat << EOF > env.txt
> username=admin
> password=123456
> EOF
[root@master1 secret]# kubectl create secret generic mysecret --from-env-file=env.txt
secret/mysecret created
[root@master1 secret]# kubectl describe secret mysecret
Name: mysecret
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
====
password: 6 bytes
username: 6 bytes
- 通过YAML配置文件(文件中的敏感数据必须是通过base64编码后的结果)
[root@master1 secret]# echo -n admin | base64
YWRtaW4=
[root@master1 secret]# echo -n 123456 | base64
MTIzNDU2
[root@master1 secret]# cat mysecret.yaml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
data:
username: YWRtaW4=
password: MTIzNDU2
[root@master1 secret]# kubectl apply -f mysecret.yaml
secret/mysecret created
查看Secret
- 通过kubectl get secret查看存在的secret
[root@master1 secret]# kubectl get secret
NAME TYPE DATA AGE
default-token-75kvr kubernetes.io/service-account-token 3 17d
mysecret Opaque 2 109s
- 通过kubectl describe secret查看条目的 Key
[root@master1 secret]# kubectl describe secret mysecret
Name: mysecret
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
==== # 显示有两个数据条目
password: 6 bytes
username: 5 bytes
- 如果还想查看Value,可以用kubectl edit secret mysecret,然后通过base64将Value反编码即可看到原明文
[root@master1 secret]# kubectl edit secret mysecret
Edit cancelled, no changes made.
[root@master1 secret]# echo -n MTIzNDU2 | base64 -d
123456
[root@master1 secret]# echo -n YWRtaW4= | base64 -d
admin
删除Secret
[root@master1 secret]# kubectl delete secret mysecret
secret "mysecret" deleted
在Pod中使用Secret
Pod可以通过Volume或者环境变量的方式使用Secret。
Volume方式
[root@master1 secret]# cat volume-secret.yaml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
data:
username: YWRtaW4=
password: MTIzNDU2
---
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy; sleep 30000
volumeMounts:
- name: foo
mountPath: "/etc/foo"
readOnly: true
volumes:
- name: foo
secret:
secretName: mysecret
[root@master1 secret]# kubectl apply -f volume-secret.yaml
secret/mysecret unchanged
pod/mypod created
① 定义volume foo,来源为secret mysecret。
② 将foo mount到容器路径/etc/foo,可指定读写权限为 readOnly。
[root@master1 secret]# kubectl exec -it mypod -- /bin/sh
/ # cat /etc/foo/username
admin
/ # cat /etc/foo/password
123456/ #
可以看到,Kubernetes会在指定的路径/etc/foo下为每条敏感数据 创建一个文件,文件名就是数据条目的Key,这里是/etc/foo/username和/etc/foo/password,Value则以明文存放在文件中.
- 我们也可以自定义存放数据的文件名
这时数据将分别存放在/etc/foo/my-group/my-username 和/etc/foo/my-group/my-password中
[root@master1 secret]# kubectl apply -f volume-secret.yaml
secret/mysecret created
pod/mypod created
[root@master1 secret]# kubectl exec -it mypod -- /bin/sh
/ # cat /etc/foo/my-group/my-username
admin
/ # cat /etc/foo/my-group/my-password
123456/ # exit
- 以Volume方式使用的Secret支持动态更新:Secret更新后,容器 中的数据也会更新。
将password更新为abcdef,base64编码为YWJjZGVm
[root@master1 secret]# kubectl apply -f volume-secret.yaml
secret/mysecret configured
pod/mypod configured
[root@master1 secret]# kubectl exec -it mypod -- /bin/sh
/ # cat /etc/foo/my-group/my-password
123456/ #
# 需要几秒钟后,新的password会同步到容器
/ # cat /etc/foo/my-group/my-password
abcdef/ #
环境变量方式
通过Volume使用Secret,容器必须从文件读取数据,稍显麻烦, Kubernetes还支持通过环境变量使用Secret
[root@master1 secret]# cat env-mysecret.yaml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
data:
username: YWRtaW4=
password: YWJjZGVm
---
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: mypod
image: busybox
args:
- /bin/sh
- -c
- sleep 10; touch /tmp/healthy;sleep 30000
env:
- name: SECRET_USERNAME
valueFrom:
secretKeyRef:
key: username
name: mysecret
- name: SECRET_PASSWORD
valueFrom:
secretKeyRef:
key: password
name: mysecret
[root@master1 secret]# kubectl apply -f env-mysecret.yaml
secret/mysecret unchanged
pod/mypod created
[root@master1 secret]# kubectl exec -it mypod -- /bin/sh
/ # printenv | grep SECRET
SECRET_PASSWORD=abcdef
SECRET_USERNAME=admin
通过环境变量SECRET_USERNAME和SECRET_PASSWORD成 功读取到Secret的数据。 需要注意的是,环境变量读取Secret很方便,但无法支撑Secret动 态更新。
ConfigMap
概述
Secret可以为Pod提供密码、Token、私钥等敏感数据;对于一些 非敏感数据,比如应用的配置信息,则可以用ConfigMap
ConfigMap的创建和使用方式与Secret非常类似,主要的不同是 数据以明文的形式存放
Configmap能解决哪些问题?
我们在部署服务的时候,每个服务都有自己的配置文件,如果一台服务器上部署多个服务:nginx、tomcat、apache等,那么这些配置都存在这个节点上,假如一台服务器不能满足线上高并发的要求,需要对服务器扩容,扩容之后的服务器还是需要部署多个服务:nginx、tomcat、apache,新增加的服务器上还是要管理这些服务的配置,如果有一个服务出现问题,需要修改配置文件,每台物理节点上的配置都需要修改,这种方式肯定满足不了线上大批量的配置变更要求。 所以,k8s中引入了Configmap资源对象,可以当成volume挂载到pod中,实现统一的配置管理。
- Configmap是k8s中的资源, 相当于配置文件,可以有一个或者多个Configmap
- Configmap可以做成Volume,k8s pod启动之后,通过 volume 形式映射到容器内部指定目录上
- 容器中应用程序按照原有方式读取容器特定目录上的配置文件
- 在容器看来,配置文件就像是打包在容器内部特定目录,整个过程对应用没有任何侵入
ConfigMap创建的方法
与Secret一样,ConfigMap也支持四种创建方式
- 通过–from-literal:
每个–from-literal对应一个信息条目。
kubectl create configmap myconfigmap --from-literal=config1=xxx
[root@master1 configmap]# kubectl create configmap tomcat-config --from-literal=tomcat_port=8080 --from-literal=server_name=myapp.tomcat.com
- 通过–from-file:
每个文件内容对应一个信息条目
echo -n xxx > ./config1
echo -n yyy > ./config2
kubectl create configmap myconfigmap --from-file=./config1 --from-file ./config2
[root@master1 configmap]# cat nginx.conf
server {
server_name www.nginx.com;
listen 80;
root /home/nginx/www/
}
[root@master1 configmap]# kubectl create configmap www-nginx --from-file=www=./nginx.conf
- 指定目录创建
[root@master1 ~]# mkdir test-a
[root@master1 ~]# cd test-a/
[root@master1 test-a]# cat my-server.cnf
server-id=1
[root@master1 test-a]# cat my-slave.cnf
server-id=2
#指定目录创建configmap
[root@master1 test-a]# kubectl create configmap mysql-config --from-file=/root/test-a/
- 通过–from-env-file
文件env.txt中每行Key=Value对应一个信息条目
cat << EOF > env.txt
config1=xxx
config2=yyy
EOF
kubectl create configmap myconfigmap --from-env-file=env.txt
- 通过YAML配置文件
查看comfigmap
[root@master1 configmap]# kubectl get cm
NAME DATA AGE
kube-root-ca.crt 1 17d
myconfigmap 2 68s
mysql-config 2 3d13h
tomcat-config 2 3d13h
www-nginx 1 3d13h
You have new mail in /var/spool/mail/root
[root@master1 configmap]# kubectl describe cm myconfigmap
Name: myconfigmap
Namespace: default
Labels: <none>
Annotations: <none>
Data
====
config1:
----
xxx
config2:
----
yyy
Events: <none>
在Pod中使用ConfigMap
通过环境变量引入:使用configMapKeyRef
- 创建一个mysql的configmap
[root@master1 test-a]# cat mysql-configmap.yaml
apiVersion: v1
kind: ConfigMap
metadata:
name: mysql
labels:
app: mysql
data:
log: "1"
lower: "1"
[root@master1 test-a]# kubectl apply -f mysql-configmap.yaml
configmap/mysql created
- 创建pod,引用Configmap中的内容
[root@master1 test-a]# cat mysql-pod.yaml
apiVersion: v1
kind: Pod
metadata:
name: mysql-pod
spec:
containers:
- name: mysql
image: busybox
command: [ "/bin/sh", "-c", "sleep 3600" ]
env:
- name: log_bin #定义环境变量log_bin
valueFrom:
configMapKeyRef:
name: mysql #指定configmap的名字
key: log #指定configmap中的key
- name: lower #定义环境变量lower
valueFrom:
configMapKeyRef:
name: mysql
key: lower
restartPolicy: Never
- 测试环境变量是否生效
[root@master1 test-a]# kubectl apply -f mysql-pod.yaml
pod/mysql-pod created
[root@master1 test-a]# kubectl exec -it mysql-pod -- /bin/sh
/ # printenv | grep lo
log_bin=1
lower=1
把configmap做成volume,挂载到pod
- 创建configmap
[root@master1 test-a]# cat mysql-configmap.yaml
apiVersion: v1
kind: ConfigMap
metadata:
name: mysql
labels:
app: mysql
data:
log: "1"
lower: "1"
my.cnf: |
[mysqld]
Welcome=hello
[root@master1 test-a]# kubectl apply -f mysql-configmap.yaml
configmap/mysql configured
- 创建pod
[root@master1 test-a]# cat mysql-pod-volume.yaml
apiVersion: v1
kind: Pod
metadata:
name: mysql-pod-volume
spec:
containers:
- name: mysql
image: busybox
command: [ "/bin/sh","-c","sleep 3600" ]
volumeMounts:
- name: mysql-config
mountPath: /tmp/config
volumes:
- name: mysql-config
configMap:
name: mysql
restartPolicy: Never
[root@master1 test-a]# kubectl apply -f mysql-pod-volume.yaml
pod/mysql-pod-volume created
[root@master1 test-a]# kubectl exec -it mysql-pod-volume -- /bin/sh
/ # cd /tmp/config/
/tmp/config # ls
log lower my.cnf
/tmp/config # cat log
1
Configmap热更新
[root@master1 test-a]# kubectl edit configmap mysql
[root@master1 test-a]# kubectl exec -it mysql-pod-volume -- /bin/sh
/ # cat /tmp/config/log
2/ #
注意:
更新 ConfigMap 后:
使用该 ConfigMap 挂载的 Env 不会同步更新
使用该 ConfigMap 挂载的 Volume 中的数据需要一段时间(实测大概10秒)才能同步更新
小结
学习了如何向Pod传递配置信息。如果信息需要加密, 可使用Secret;如果是一般的配置信息,则可使用ConfigMap。 Secret和ConfigMap支持四种定义方法。Pod在使用它们时,可以 选择Volume方式或环境变量方式,不过只有Volume方式支持动态更 新
更多推荐
所有评论(0)