使用配置文件管理 Secret

使用资源配置文件创建 Secret 对象。

准备开始

你必须拥有一个 Kubernetes 的集群,且必须配置 kubectl 命令行工具让其与你的集群通信。 建议运行本教程的集群至少有两个节点,且这两个节点不能作为控制平面主机。 如果你还没有集群,你可以通过 Minikube 构建一个你自己的集群,或者你可以使用下面的 Kubernetes 练习环境之一:

创建 Secret

你可以先用 JSON 或 YAML 格式在一个清单文件中定义 Secret 对象,然后创建该对象。 Secret 资源包含 2 个键值对:datastringDatadata 字段用来存储 base64 编码的任意数据。 提供 stringData 字段是为了方便,它允许 Secret 使用未编码的字符串。 datastringData 的键必须由字母、数字、-_. 组成。

以下示例使用 data 字段在 Secret 中存储两个字符串:

  1. 将这些字符串转换为 base64:

    1. echo -n 'admin' | base64
    2. echo -n '1f2d1e2e67df' | base64

    说明:

    Secret 数据的 JSON 和 YAML 序列化结果是以 base64 编码的。 换行符在这些字符串中无效,必须省略。 在 Darwin/macOS 上使用 base64 工具时,用户不应该使用 -b 选项分割长行。 相反地,Linux 用户应该base64 地命令中添加 -w 0 选项, 或者在 -w 选项不可用的情况下,输入 base64 | tr -d '\n'

    输出类似于:

    1. YWRtaW4=
    2. MWYyZDFlMmU2N2Rm
  2. 创建清单:

    1. apiVersion: v1
    2. kind: Secret
    3. metadata:
    4. name: mysecret
    5. type: Opaque
    6. data:
    7. username: YWRtaW4=
    8. password: MWYyZDFlMmU2N2Rm

    注意,Secret 对象的名称必须是有效的 DNS 子域名

  3. 使用 kubectl apply 创建 Secret:

    1. kubectl apply -f ./secret.yaml

    输出类似于:

    1. secret/mysecret created

若要验证 Secret 被创建以及想要解码 Secret 数据, 请参阅使用 kubectl 管理 Secret

创建 Secret 时提供未编码的数据

对于某些场景,你可能希望使用 stringData 字段。 这个字段可以将一个非 base64 编码的字符串直接放入 Secret 中, 当创建或更新该 Secret 时,此字段将被编码。

上述用例的实际场景可能是这样:当你部署应用时,使用 Secret 存储配置文件, 你希望在部署过程中,填入部分内容到该配置文件。

例如,如果你的应用程序使用以下配置文件:

  1. apiUrl: "https://my.api.com/api/v1"
  2. username: "<user>"
  3. password: "<password>"

你可以使用以下定义将其存储在 Secret 中:

  1. apiVersion: v1
  2. kind: Secret
  3. metadata:
  4. name: mysecret
  5. type: Opaque
  6. stringData:
  7. config.yaml: |
  8. apiUrl: "https://my.api.com/api/v1"
  9. username: <user>
  10. password: <password>

说明:

Secret 的 stringData 字段不能很好地与服务器端应用配合使用。

当你检索 Secret 数据时,此命令将返回编码的值,并不是你在 stringData 中提供的纯文本值。

例如,如果你运行以下命令:

  1. kubectl get secret mysecret -o yaml

输出类似于:

  1. apiVersion: v1
  2. data:
  3. config.yaml: YXBpVXJsOiAiaHR0cHM6Ly9teS5hcGkuY29tL2FwaS92MSIKdXNlcm5hbWU6IHt7dXNlcm5hbWV9fQpwYXNzd29yZDoge3twYXNzd29yZH19
  4. kind: Secret
  5. metadata:
  6. creationTimestamp: 2018-11-15T20:40:59Z
  7. name: mysecret
  8. namespace: default
  9. resourceVersion: "7225"
  10. uid: c280ad2e-e916-11e8-98f2-025000000001
  11. type:

同时指定 datastringData

如果你在 datastringData 中设置了同一个字段,则使用来自 stringData 中的值。

例如,如果你定义以下 Secret:

  1. apiVersion: v1
  2. kind: Secret
  3. metadata:
  4. name: mysecret
  5. type: Opaque
  6. data:
  7. username: YWRtaW4=
  8. stringData:
  9. username: administrator

说明:

Secret 的 stringData 字段不能很好地与服务器端应用配合使用。

所创建的 Secret 对象如下:

  1. apiVersion: v1
  2. data:
  3. username: YWRtaW5pc3RyYXRvcg==
  4. kind: Secret
  5. metadata:
  6. creationTimestamp: 2018-11-15T20:46:46Z
  7. name: mysecret
  8. namespace: default
  9. resourceVersion: "7579"
  10. uid: 91460ecb-e917-11e8-98f2-025000000001
  11. type: Opaque

YWRtaW5pc3RyYXRvcg== 解码成 administrator

编辑 Secret

要编辑使用清单创建的 Secret 中的数据,请修改清单中的 datastringData 字段并将此清单文件应用到集群。 你可以编辑现有的 Secret 对象,除非它是不可变的

例如,如果你想将上一个示例中的密码更改为 birdsarentreal,请执行以下操作:

  1. 编码新密码字符串:

    1. echo -n 'birdsarentreal' | base64

    输出类似于:

    1. YmlyZHNhcmVudHJlYWw=
  2. 使用你的新密码字符串更新 data 字段:

    1. apiVersion: v1
    2. kind: Secret
    3. metadata:
    4. name: mysecret
    5. type: Opaque
    6. data:
    7. username: YWRtaW4=
    8. password: YmlyZHNhcmVudHJlYWw=
  3. 将清单应用到你的集群:

    1. kubectl apply -f ./secret.yaml

    输出类似于:

    1. secret/mysecret configured

Kubernetes 更新现有的 Secret 对象。具体而言,kubectl 工具发现存在一个同名的现有 Secret 对象。 kubectl 获取现有对象,计划对其进行更改,并将更改后的 Secret 对象提交到你的集群控制平面。

如果你指定了 kubectl apply --server-side,则 kubectl 使用服务器端应用(Server-Side Apply)

清理

删除你创建的 Secret:

  1. kubectl delete secret mysecret

接下来