使用密码短语 SSH 密钥推送

Question

我在 OpenShift 3.11 (Kubernetes 1.11) 上有一个 Pod。从那个 POD，我需要使用密码 SSH 密钥推送到 GitHub 存储库。 现在我可以很好地创建一个秘密了：

apiVersion: v1
data:
  known_hosts: Yml...
  passphrase: abcde...
  ssh-privatekey: LS0...
kind: Secret
metadata:
  name: git-ssh-mirror
  namespace: mynamespace
type: kubernetes.io/ssh-auth

不过，我不知道如何以某种方式连接这个 Secret，使 Pod 可以同时使用 Privatekey 和 Passphrase。

任何指针将不胜感激。

Answer 1

创建的git-ssh-mirror 秘密的data 部分中的passphrase 和ssh-privatekey 字段可以安装在容器内，如下所示：

• Environment variables，或

• Files

  1. 将密钥作为环境变量 GIT_SSH_PASSPHRASE 和GIT_SSH_PRIVATEKEY 在容器内安装：

  ...
  kind: Pod
  ...
  spec:
    containers:
    - name: mycontainer
      image: myimage
      env:
        - name: GIT_SSH_PASSPHRASE
          valueFrom:
            secretKeyRef:
              name: git-ssh-mirror
              key: passphrase
        - name: GIT_SSH_PRIVATEKEY
          valueFrom:
            secretKeyRef:
              name: git-ssh-mirror
              key: ssh-privatekey
  

  现在，使用容器内的环境变量 GIT_SSH_PASSPHRASE 和 GIT_SSH_PRIVATEKEY 分别访问推送到 GitHub 存储库所需的 SSH 密码和私钥。

  1. 将机密作为文件安装在容器内：

  ...
  kind: Pod
  ...
  spec:
    containers:
    - name: mycontainer
      image: myimage
      volumeMounts:
      - name: git-ssh-secrets
        mountPath: "/etc/mypath"
        readOnly: true
    volumes:
    - name: git-ssh-secrets
      secret:
        secretName: git-ssh-mirror
  

  现在，创建的git-ssh-mirror 密钥中的passphrase 和ssh-privatekey 的值被base-64 解码并分别存储在容器内的只读文件/etc/mypath/passphrase 和/etc/mypath/ssh-privatekey 中。使用它们推送到 GitHub 存储库。

如果需要对密码或 SSH 私钥进行 base-64 解码，请使用 base64 --decode 命令。