在预安装挂钩中为机密创建文件

Question

我有一个舵图，我需要在安装所有资源之前创建一个文件，以便能够将其存储在一个秘密中。我一直在阅读有关 Helm Hooks 的内容，我想我可以创建一个钩子，插入我的脚本文件，运行我的脚本并生成我需要的文件，我迷失的是如何将我的文件从 pod 中取出并插入作为一个秘密。

这些是我的钩子：

脚本的秘密钩子：

apiVersion: v1
kind: Secret
metadata:
  name: hlf-genesis-block
  namespace: hlf
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-weight": "0"
    "helm.sh/hook-delete-policy": hook-succeeded
type: Opaque
data:
  createfile.sh: |-
    {{ .Files.Get "scripts/createfile.sh" | b64enc }}

工作挂钩：

apiVersion: batch/v1
kind: Job
metadata:
  name: "post-install-hook"
  annotations:
    "helm.sh/hook": post-install
    "helm.sh/hook-weight": "1"
    "helm.sh/hook-delete-policy": hook-succeeded
spec:
  template:
    spec:
      volumes:
      - name: scripts
        secret:
          secretName: scripts
      restartPolicy: Never
      containers:
      - name: channel-config
        image: "ubuntu:20.04"
        command: ["bash", "-c", "
                domainname=\"{{ .Values.domainName }}\"
                ./createfile.sh \"$domainname\"
              "]
        volumeMounts:
        - mountPath: /home/
          name: scripts
          readOnly: true

最终机密文件：

apiVersion: v1
kind: Secret
metadata:
  name: hlf-genesis-block
  namespace: hlf
type: Opaque
data:
  secret.txt: |-
    {{ .Files.Get "generatedfile.txt" | b64enc }}

我在想也许像在工作中使用类似这样的东西来分配一个变量：

{{ $secret := echo generatedfile.txt }}

但是我还没有找到它的功能，或者暂时映射一个卷，但即使这样我也无法弄清楚如何从我的工作或临时存储中取出秘密，作为 . Files.Get 从运行 kubectl 的地方工作...

或者也许从作业内部运行 kubectl 来创建秘密？虽然那样我将无法在卸载时删除秘密。

任何想法都会很棒。

谢谢

编辑：

是否可以通过修改映射的秘密卷来修改秘密值？我要试试。

Answer 1

我建议重用 https://github.com/helm/charts/tree/master/stable 和 https://github.com/bitnami/charts 以重用现有解决方案

Helm Template https://github.com/bitnami/charts/blob/master/bitnami/rabbitmq/templates/secrets.yaml 使用 randAlphaNum 模板函数 https://helm.sh/docs/chart_template_guide/function_list/#randalphanum-randalpha-randnumeric-and-randascii 生成秘密。

每次运行 helm install/upgrade 命令时 randAlphaNum 生成新密钥的问题由 https://github.com/helm/helm/issues/3053#issuecomment-782837107 使用查找模板函数 https://helm.sh/docs/chart_template_guide/functions_and_pipelines/#using-the-lookup-function 解决。下面的代码是从https://github.com/helm/helm/issues/3053#issuecomment-782837107复制而来的

apiVersion: v1
kind: Secret
metadata:
  name: foobar-secret
type: Opaque
{{- $previous := lookup "v1" "Secret" .Release.Namespace "foobar-secret" }}
data:
  {{- if $previous }}
  foobarPassword: {{ $previous.data.foobarPassword }}
  {{- else if .Values.foobarPassword }}
  foobarPassword: {{ .Values.foobarPassword | b64enc | quote }}
  {{- else }}
  foobarPassword: {{ randAlphaNum 40 | b64enc | quote }}
  {{- end }}

编辑：

初始化 Demo Pod 定义：https://kubernetes.io/docs/tasks/configure-pod-container/configure-pod-initialization/

apiVersion: v1
kind: Pod
metadata:
  name: init-demo
spec:
  containers:
  - name: nginx
    image: nginx
    ports:
    - containerPort: 80
    volumeMounts:
    - name: channel-config
      mountPath: /run/channel-config
  # These containers are run during pod initialization
  initContainers:
  - name: channel-config
    image: "ubuntu:20.04"
    command: ["bash", "-c", "cd /run/channel-config && ./createfile.sh \"{{ .Values.domainName }}\""]
    volumeMounts:
    - name: channel-config
      mountPath: "/run/channel-config"
  dnsPolicy: Default
  volumes:
  - name: channel-config
    emptyDir: {}

Answer 2

使用存储是一个很好的解决方案，但为了完整起见，这是我使用秘密的方式：

我用虚假的值创建了最终的秘密

apiVersion: v1
kind: Secret
metadata:
  name: hlf-genesis-block
  namespace: hlf
type: Opaque
data:
  secret.txt: {{ "empty" | b64enc }}

然后我创建了一个角色和一个角色绑定，以便能够修改作业中的秘密

角色：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: update-secrets
  namespace: hlf
rules:
  - apiGroups:
      - ""
    resources:
      - secrets
    verbs:
      - get
      - patch

角色绑定：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: update-secrets
  namespace: hlf
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: update-secrets
subjects:
  - kind: ServiceAccount
    name: default
    namespace: hlf

最后我没有使用钩子，因为作业运行速度比我需要映射一些持久卷并更改命令的部署快得多，如下所示：

apiVersion: batch/v1
kind: Job
metadata:
  name: "genesis-job"
spec:
  template:
    spec:
      volumes:
      - name: scripts
        secret:
          secretName: scripts
      restartPolicy: Never
      containers:
      - name: channel-config
        image: "myrepo/fabric-tools-with-k8s"
        command: ["bash", "-c", "./createfile.sh \"{{ .Values.domainName }}\" && cat genesis.block | base64 > encoded.block  && genesis=$(cat encoded.block | tr -d '\n') && patch="[{\"op\":\"replace\",\"path\":\"/data/genesis.block\",\"value\":\"$genesis\"}]" && kubectl patch secret hlf-genesis-block --type=json -p="$patch""]
        volumeMounts:
        - mountPath: /home/
          name: scripts
          readOnly: true