Kubernetes Secret-CFANZ编程社区

Secret 是 Kubernetes 中用于安全管理敏感数据的关键组件，可以用来存储例如密码、OAuth 令牌、TLS 证书等数据。与 ConfigMap 类似，Secret 的主要作用是将敏感数据从容器配置中分离开来，并提供更高的安全性。

Secret 的作用与场景

Kubernetes 中的 Secret 用于：

安全存储和分发敏感数据：存储数据库密码、API 密钥、SSH 私钥等机密信息，而无需将它们暴露在代码或 Docker 镜像中。
与镜像仓库交互时管理认证信息：用于从私有 Docker 镜像仓库拉取镜像。
提供 TLS/SSL 证书：管理 HTTPS 通信所需的证书和私钥。

场景示例：

一个 Web 应用需要连接 MySQL 数据库，使用 Secret 可以安全地存储数据库凭据，而不用将其硬编码在容器镜像中。
为 Kubernetes 集群的应用提供 TLS 证书，确保服务间通信安全。

Secret 的存储方式

Kubernetes 中的 Secret 数据存储在 etcd 中，并且以 Base64 编码格式保存。尽管 Base64 编码并不是加密方式，但它避免了敏感数据以明文形式直接暴露。如果 etcd 被配置为加密存储，Secret 数据也将被加密。

Secret 的存储通常有两种使用方式：

作为环境变量：将 Secret 的值注入到 Pod 中的环境变量中。
作为文件挂载：将 Secret 挂载到 Pod 的文件系统，应用程序从文件中读取数据。

Secret 类型详解

Kubernetes 提供了几种不同类型的 Secret，具体根据场景选择合适的类型。

Opaque（默认类型）

这是最通用的 Secret 类型，允许你以键值对的形式存储任意敏感数据。

kubectl create secret generic my-secret --from-literal=username=myuser --from-literal=password=mypassword

docker-registry

用于存储 Docker 镜像仓库的认证信息，当你需要从私有仓库拉取镜像时使用。

kubectl create secret docker-registry my-docker-secret \
    --docker-username=myuser \
    --docker-password=mypassword \
    --docker-email=myemail@example.com

tls

该类型用于存储 TLS/SSL 证书和私钥，通常用于 HTTPS 通信。

kubectl create secret tls my-tls-secret \
    --cert=path/to/tls.crt \
    --key=path/to/tls.key

service-account-token

这是 Kubernetes 自动创建的 Secret 类型，用于存储与服务账户关联的访问令牌，允许 Pod 使用该令牌访问 Kubernetes API。

Secret 的创建方式

使用 kubectl 命令行创建

最简单的方式是通过 kubectl create secret 命令手动创建 Secret，可以通过 --from-literal 直接指定键值对，也可以通过 --from-file 从文件创建。

kubectl create secret generic my-secret \
  --from-literal=username=myuser \
  --from-literal=password=mypassword

从文件创建的方式：

kubectl create secret generic my-secret \
  --from-file=./username.txt \
  --from-file=./password.txt

通过 YAML 文件创建

也可以通过定义 YAML 文件来创建 Secret，YAML 文件中的 data 字段存储的值需要使用 Base64 编码。

apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
data:
  username: bXl1c2Vy  # Base64 编码的 'myuser'
  password: bXlwYXNzd29yZA==  # Base64 编码的 'mypassword'

应用该 YAML 文件：

kubectl apply -f secret.yaml

Secret 的使用方式

将 Secret 作为环境变量使用

Secret 可以通过 env 字段作为环境变量注入到容器中：

apiVersion: v1
kind: Pod
metadata:
  name: secret-env-pod
spec:
  containers:
  - name: my-container
    image: my-image
    env:
    - name: USERNAME
      valueFrom:
        secretKeyRef:
          name: my-secret
          key: username
    - name: PASSWORD
      valueFrom:
        secretKeyRef:
          name: my-secret
          key: password

通过这种方式，应用程序可以直接从环境变量中读取敏感数据。

将 Secret 挂载为文件使用

你也可以将 Secret 挂载到容器的文件系统中，应用程序可以从文件中读取这些数据。

apiVersion: v1
kind: Pod
metadata:
  name: secret-file-pod
spec:
  containers:
  - name: my-container
    image: my-image
    volumeMounts:
    - name: secret-volume
      mountPath: "/etc/secret"
  volumes:
  - name: secret-volume
    secret:
      secretName: my-secret

在上述例子中，my-secret 中的键值对会以文件的形式挂载到 /etc/secret 目录，应用可以从文件中读取这些值。

使用 Secret 进行镜像拉取认证

Secret 还可以用于存储 Docker 镜像仓库的认证信息，供 Kubernetes 从私有镜像仓库拉取镜像时使用。

创建 Docker 仓库认证的 Secret：

kubectl create secret docker-registry regcred \
    --docker-server=https://index.docker.io/v1/ \
    --docker-username=yourname \
    --docker-password=yourpassword \
    --docker-email=you@example.com

使用 imagePullSecrets 引用该 Secret：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: my-private-repo/my-image
  imagePullSecrets:
  - name: regcred

这样，Kubernetes 在拉取私有镜像时会使用 regcred 中的认证信息。

Secret 的更新和管理

更新 Secret

Secret 更新后，Kubernetes 不会自动更新正在运行的 Pod。可以通过以下方式让 Pod 使用更新的 Secret：

手动删除并重新创建 Pod。
触发滚动更新，例如使用 kubectl rollout restart。
文件挂载方式的 Secret 每分钟会自动检查更新，应用程序可以动态读取文件。

查看和解码 Secret

使用 kubectl get secret 可以查看集群中的所有 Secret：

kubectl get secrets

使用 kubectl describe secret 查看 Secret 的详细信息（不显示敏感内容）：

kubectl describe secret my-secret

要查看解码后的 Secret 内容，可以使用 Base64 解码工具：

kubectl get secret my-secret -o yaml
# 使用 echo 和 base64 命令解码
echo "bXl1c2Vy" | base64 --decode

删除 Secret

如果不再需要某个 Secret，可以使用以下命令删除：

kubectl delete secret my-secret

Secret 的安全性

RBAC 控制

Kubernetes 的 RBAC（基于角色的访问控制）可以精细地控制谁能访问哪些 Secret。你可以定义权限策略，确保只有授权的用户或服务能访问敏感数据。

`etcd` 加密存储

Kubernetes 支持为 etcd 数据库中的 Secret 加密存储，避免数据泄露。需要在 Kubernetes API 服务器中配置加密提供者。

定期轮换 Secret

为了提升安全性，建议定期更新和轮换 Secret 中的敏感信息，例如定期更新密码或证书。

Secret 的最佳实践

最小化访问：使用 RBAC 控制哪些 Pod 或用户可以访问 Secret，遵循最小权限原则。
避免暴露明文数据：通过使用 Base64 编码并开启 etcd 加密功能，尽量避免敏感数据的明文暴露。
定期更新和轮换：定期更新 Secret 数据，确保敏感信息不过期，并设计应用能够无缝加载更新后的 Secret。

常见问题与解决方案

Secret 更新后是否会自动生效？

如果 Secret 是通过环境变量注入到 Pod 中的，则必须重启 Pod 才能加载更新的 Secret。
如果 Secret 是通过
文件挂载的方式注入的，Kubernetes 会每隔 1 分钟检查文件是否有变化，Pod 可以动态加载更新后的 Secret。应用程序需要自己实现定期读取文件的机制，确保数据的同步更新。

Secret 为什么是 Base64 编码？

Base64 编码是为了防止数据在 YAML 或 JSON 格式中直接暴露，避免影响其解析，Base64 编码并非加密。为了确保数据安全，应该依赖 Kubernetes 的 etcd 加密功能和网络层的安全措施，如 RBAC 和 TLS。

Secret 的大小限制是多少？

默认情况下，Kubernetes 中的 Secret 大小被限制为 1 MB。如果需要存储大文件，建议通过外部存储解决方案（如云存储）进行管理，Secret 适合存储小型、轻量级的敏感数据。

Secret 与 ConfigMap 的区别

虽然 Secret 和 ConfigMap 都用于配置管理，它们的主要区别在于：

敏感性：Secret 用于存储敏感信息，而 ConfigMap 用于存储非敏感配置数据。
编码方式：Secret 数据会经过 Base64 编码，而 ConfigMap 的数据则是以明文存储的。
使用场景：Secret 通常用于存储密码、令牌等敏感数据，而 ConfigMap 用于存储配置文件、环境变量等。

特性	Secret	ConfigMap
用途	存储敏感数据（密码、密钥等）	存储非敏感配置数据
数据存储方式	Base64 编码	明文存储
数据大小限制	1 MB	1 MB
使用场景	安全存储敏感信息、凭证	存储应用程序的配置文件或参数

总结

Kubernetes 中的 Secret 提供了一种安全管理敏感数据的机制，避免了将密码、密钥等明文信息硬编码在应用程序中或暴露在配置文件中。通过与 RBAC 控制、etcd 加密等机制结合使用，Secret 可以有效提升集群的安全性。在实际应用中，合理使用 Secret 是保障 Kubernetes 集群中数据安全的重要环节。