14.实践篇：Secret资源深度剖析

2020-02-07 14:17:01

Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。

1.What is Secret?

        kubernetes的secret对象可以让你存储和管理敏感信息，如密码、oauth token和ssh keys。把这些信息配置到secret里面会比在pod spec中定义更安全和灵活。
如果有兴趣，你还可以参考阅读secret的设计目的(https://git.k8s.io/community/contributors/design-proposals/auth/secrets.md)。

2.如何创建一个Secret

你同样可以采用命令行和yaml配置文件的方式，来创建一个secret。

2.1.命令行方式

kubectl create secret [TYPE] [NAME] [DATA]

你需要注意secret资源有以下三种[TYPE]类型：

1>docker-registry：创建一个给Docker registry容器镜像仓库使用的secret
2>generic： 从本地file, directory或者literal value创建一个 secret（这是大多数情况使用的）
3>tls： 创建一个TLS secret

[DATA]和我们上一节将configmap一样，也可以细分为--from-literal和--from-file

2.2.yaml配置文件方式

apiVersion: v1
kind: Secret
type: Opaque
data:
  username: YWRtaW4=
stringData:
  username: administrator

以上就是secret定义的核心配置，你需要额外注意的是type字段，其值为Opaque，对应我们上面提及的generic类型

Opaque：base64编码格式的Secret，用来存储密码、密钥等；

你可以通过以下命令进行secret配置字段的查看

kubectl explain secret

3.通过生成器创建一个Secret

除了命令行和yaml方式创建之外，从v1.14版本开始，kubectl支持通过使用Kustomize来管理对象，你同样可以使用他的generators来创建一个secret，并且在apiserver上将其运行起来。

1）首先，generators需要配置一个kustomization.yaml文件，对于上面的例子，我们可以这样来申明：

# Create a kustomization.yaml file with SecretGenerator
cat <<EOF >./kustomization.yaml
secretGenerator:
- name: db-user-pass
  files:
  - username.txt
  - password.txt
EOF

2）如果你没有相关的txt文件，别忘了生成一份

[root@centos-1 tmp]# kubectl apply -k .
secret/db-user-pass-96mffmfh4k created

3）接着，我们使用-k参数来申明

[root@centos-1 tmp]# kubectl apply -k .secret/db-user-pass-96mffmfh4k created

4）此时你可以看到如下信息的secret：

[root@centos-1 tmp]# kubectl get secrets
NAME                      TYPE                                  DATA   AGE
db-user-pass-96mffmfh4k   Opaque                                2      47s
default-token-4fl6p       kubernetes.io/service-account-token   3      39d
[root@centos-1 tmp]# kubectl describe secrets/db-user-pass-96mffmfh4k
Name:         db-user-pass-96mffmfh4k
Namespace:    default
Labels:       <none>
Annotations:  
Type:         Opaque

Data
====
password.txt:  12 bytes
username.txt:  5 bytes

5）你也可以通过kustomize来申明一个literals的类型：

 cat <<EOF >./kustomization.yaml
secretGenerator:
- name: db-user-pass
  literals:
  - username=admin
  - password=secret
EOF

[root@centos-1 tmp]# kubectl apply -k .
secret/db-user-pass-4mf9kckdb5 created

注意：secret名是根据文本内容hash计算出来的，这得以保证每次可以得到一个修改后的文本内容

4.编辑一个Secret

你同样可以使用edit命令编辑一个secret，里面的信息修改后保存即可：

kubectl edit secrets mysecret

5.申明对照表

虽然我们上面提到，secret也可以通过--from-literal和--from-file来申明，但是对于三种不同类型[TYPE]的secret，还是有一些区分的，具体参见下面的表格：

6.如何使用一个Secret

secret的使用也是会因为使用类型不同而不同的，下面我会有一个详细的explain API的表格，可以帮助你更好地学习：

注意：通过使用 kubectl explain <使用方式>就可以查到对应的配置字段的要求了。

理论部分已经讲完，接下来我们将以generic类型进行实战讲解

secret资源同样提供了以env和volume的两种方式进行载入，我们来看一下吧

7.实战：以环境变量方式载入Secret

1) 首先，创建所需的文本文件username.txt和password.txt

echo -n 'admin' > ./username.txt
echo -n '1f2d1e2e67df' > ./password.txt

2) 创建generic类型的secret，名字为db-user-pass，并从刚才的两个文件中载入

kubectl create secret generic db-user-pass --from-file=./username.txt --from-file=./password.txt

3) 观察secret情况，观察相关信息是否被成功载入

[root@centos-1 mainfasts]# kubectl get secrets/db-user-pass -o yaml
apiVersion: v1
data:
  password.txt: MWYyZDFlMmU2N2Rm
  username.txt: YWRtaW4=
kind: Secret
metadata:
  creationTimestamp: "2019-12-05T07:39:02Z"
  name: db-user-pass
  namespace: default
  resourceVersion: "10014"
  selfLink: /api/v1/namespaces/default/secrets/db-user-pass
  uid: 6b15c821-5975-405f-9144-0c1fbaa1e341
type: Opaque

注意：secret中的信息是通过base64进行编码的

4) 我们可以尝试使用base64解码配置文件中的对应信息，来验证上面的说法是否正确

[root@centos-1 mainfasts]# echo YWRtaW4=|base64 -d
admin
[root@centos-1 mainfasts]# echo MWYyZDFlMmU2N2Rm|base64 -d
1f2d1e2e67df

5) 接着，编辑redis-secretenv-demo.yaml，让他读取我们创建的名为db-user-pass的secret，并且将变量名username.txt的值赋值给SECRET_USERNAME的环境变量，以及password.txt赋值给SECRET_PASSWORD。别忘了使用apply -f生效这个配置文件。

apiVersion: v1
kind: Pod
metadata:
  name: secret-env-pod
spec:
  containers:
  - name: mycontainer
    image: redis
    env:
      - name: SECRET_USERNAME
        valueFrom:
          secretKeyRef:
            name: db-user-pass
            key: username.txt
      - name: SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: db-user-pass
            key: password.txt
  restartPolicy: Never

6) 随后，进入Pod的交互式接口模式，观察secret变量载入情况。
你可以发现我们传递的变量已经成功读取到了。

[root@centos-1 secret]# kubectl exec -it secret-env-pod -- /bin/sh
# printenv
KUBERNETES_PORT=tcp://10.96.0.1:443
KUBERNETES_SERVICE_PORT=443
HOSTNAME=secret-env-pod
REDIS_DOWNLOAD_SHA=61db74eabf6801f057fd24b590232f2f337d422280fd19486eca03be87d3a82b
HOME=/root
SECRET_PASSWORD=1f2d1e2e67df
TERM=xterm
KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
KUBERNETES_PORT_443_TCP_PORT=443
KUBERNETES_PORT_443_TCP_PROTO=tcp
SECRET_USERNAME=admin
REDIS_DOWNLOAD_URL=http://download.redis.io/releases/redis-5.0.7.tar.gz
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
REDIS_VERSION=5.0.7
GOSU_VERSION=1.11
KUBERNETES_SERVICE_HOST=10.96.0.1
PWD=/data

8.实战：以存储卷方式载入Secret

1) 我们重新编辑redis-secretfiles-volumes，新增一个secret类型的volumes叫做secret-volume，我们把他挂载到pod容器的"/etc/secret-volume"目录，并且期望变量名改为username，而不是username.txt。

apiVersion: v1
kind: Pod
metadata:
  name: secret-dotfiles-pod
spec:
  volumes:
  - name: secret-volume
    secret:
      secretName: db-user-pass
      items:
      - key: username.txt                  #secrets中key的名字
        path: username                     #希望映射在Pod中的名字
      - key: password.txt
        path: password
  containers:
  - name: dotfile-test-container
    image: redis
    volumeMounts:
    - name: secret-volume
      readOnly: true
      mountPath: "/etc/secret-volume"

2) apply -f之后，我们还是进入pod的交互式接口模式，发现/etc/secret-volume中已经生成对应的配置文件。并且文件名也已经成功替换映射过来了，是username而不是username.txt。

[root@centos-1 secret]# kubectl exec -it secret-dotfiles-pod -- /bin/sh
# cd /etc/secret-volume
# ls
password  username
# cat password
1f2d1e2e67df
# cat username
admin#

@版权声明：51CTO独家出品，未经允许不能转载，否则追究法律责任