如何通过yaml将秘密数据设置为kubernetes秘密？

Question

我正在使用 kubernetes 将 rails 应用程序部署到 google 容器引擎。

关注 Kubernetes 机密文档：http://kubernetes.io/v1.1/docs/user-guide/secrets.html

我创建了一个网络控制器文件：

# web-controller.yml
apiVersion: v1
kind: ReplicationController
metadata:
  labels:
    name: web
  name: web-controller
spec:
  replicas: 2
  selector:
    name: web
  template:
    metadata:
      labels:
        name: web
    spec:
      containers:
      - name: web
        image: gcr.io/my-project-id/myapp:v1
        ports:
        - containerPort: 3000
          name: http-server
        env:
          secret:
          - secretName: mysecret

并创建了一个秘密文件：

# secret.yml
apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  RAILS_ENV: production

当我跑步时：

kubectl create -f web-controller.yml

显示：

error: could not read an encoded object from web-controller.yml: unable to load "web-controller.yml": json: cannot unmarshal object into Go value of type []v1.EnvVar
error: no objects passed to create

web-controller.yml 文件中的 yaml 格式可能有误。那怎么写呢？

Answer 1

假设我们现在在部署中添加 imagepull 机密，请按照以下步骤操作，

kubectl create secret docker-registry secret-name --docker-server=<registry-server-url> --docker-username=<Username> --docker-password=<password> --docker-email=<your-email>

现在在部署 yaml 文件中引用这个，

apiVersion: v1
kind: Deployment
metadata:
  name: test-deployment
spec:
  containers:
  - name: test-app
    image: <Image-name-private>
  imagePullSecrets:
  - name: secret-name

或

假设您有一些用于访问应用程序的 api 密钥。

kubectl create secret generic secret-name --from-literal api-key="<your_api-key"

现在像这样在部署中引用它。

        env:
          - name: API_KEY
            valueFrom:
              secretKeyRef:
                name: secret-name
                key: api-key

Answer 2

secret.yml

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
stringData:
  RAILS_ENV: production

stringData 是您所追求的简单模式版本，不过是一回事。 您将在注释中看到用于创建秘密的明文原始 yaml（如果您使用上述方法，这意味着您将在注释中拥有人类可读的秘密，如果您使用以下方法，您将拥有 base64 'd secret in your annotation），除非您像这样使用擦除注释命令：

kubectl apply -f secret.yml
kubectl annotate secret mysecret kubectl.kubernetes.io/last-applied-configuration-
（最后的 - 是删除它的意思）
kubectl get secret mysecret -n=api -o yaml
（确认）

您也可以选择
Bash# echo 制作 | base64
cHJvZHVjdGlvbgo=

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  RAILS_ENV: cHJvZHVjdGlvbgo=

Answer 3

我们目前不支持公开为 env vars 的机密。

Answer 4

您需要对值进行base64 编码，并且您的密钥必须是有效的DNS 标签，即将RAILS_ENV 替换为例如rails-env。另请参阅我整理的这个端到端示例here，了解更多详细信息和具体步骤。