Kubernetes的Secret

Kubernetes的Secret

1. Secret介绍
   Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。
2. Secret类型
   目前Secret的类型有3种：
   （1）Opaque(default)：任意字符串，base64编码格式的Secret，用来存储密码、密钥等；
   （2）kubernetes.io/service-account-token：作用于ServiceAccount，就是kubernetes的Service Account中所说的。 即用来访问Kubernetes API，由Kubernetes自动创建，并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中；
   （3）kubernetes.io/dockercfg: 作用于Docker registry，用户下载docker镜像认证使用。用来存储私有docker registry的认证信息。
3. Opaque Secret类型

   #Opaque类型的数据是一个map类型，要求value是base64编码格式：
   ##创建admin账户
   echo -n "admin" | base64
   YWRtaW4=
   echo -n "1f2d1e2e67df" | base64
   MWYyZDFlMmU2N2Rm

   #创建secret.yaml
   cat >> secrets.yml << EOF
   apiVersion: v1
   kind: Secret
   metadata:
       name: mysecret
   type: Opaque
   data:
       password: MWYyZDFlMmU2N2Rm
       username: YWRtaW4=

   #创建secret
   kubectl create -f secrets.yml

   #查看secret运行状态
   kubectl get secret --all-namespaces
   NAMESPACE     NAME                                             TYPE                                  DATA      AGE
   default       mysecret                                         Opaque                                2         10m

   #使用secret
   ##创建好secret之后，有两种方式来使用它：
   （1）以Volume方式
   （2）以环境变量方式

4. 将Secret挂载到Volume中

   #创建nginx.yaml
   apiVersion: v1
   kind: Pod
   metadata:
       labels:
           name: wtf
       name: mypod
   spec:
       volumes:
       - name: secrets
           secret:
               secretName: mysecret
       containers:
       - image: nginx:1.7.9
           name: nginx
           volumeMounts:
           - name: secrets
               mountPath: "/etc/secrets"
               readOnly: true
           ports:
           - name: cp
              containerPort: 5432
              hostPort: 5432
   ##说明：这样就可以通过文件的方式挂载到容器内，在/etc/secrets目录下回
   生成这个文件。 

   #查看Pod运行状态
   kubectl get pod
   NAME      READY     STATUS    RESTARTS   AGE
   mypod     1/1       Running   0          12s

   #进入容器内部查看/etc/secrets目录下文件
   kubectl exec -it mypod /bin/bash
   root@mypod:/# cd /etc/secrets
   root@mypod:/etc/secrets# ls -l
   total 0
   lrwxrwxrwx 1 root root 15 Jun  1 07:25 password -> ..data/password
   lrwxrwxrwx 1 root root 15 Jun  1 07:25 username -> ..data/username
   cat username
   admin
   cat password 
   1f2d1e2e67df

5. 将Secret导出到环境变量中

   #创建wordpress.yaml
   apiVersion: extensions/v1beta1
   kind: Deployment
   metadata:
       name: wordpress-deployment
   spec:
       replicas: 2
       template:
           metadata:
               labels:
                   app: wordpress
           spec:
               containers:
               - name: "wordpress"
                   image: "wordpress:latest"
                   ports:
                   - containerPort: 80
                   env:
                   - name: WORDPRESS_DB_USER
                       valueFrom:
                           secretKeyRef:
                               name: mysecret
                               key: username
                   - name: WORDPRESS_DB_PASSWORD
                       valueFrom:
                           secretKeyRef:
                               name: mysecret
                               key: password

   #查看Pod运行状态
   kubectl get po
   NAME                                    READY     STATUS    RESTARTS   AGE
   wordpress-deployment-6b569fbb7d-8qcpg   1/1       Running   0          2m
   wordpress-deployment-6b569fbb7d-xwwkg   1/1       Running   0          2m
   ##说明：进入容器通过env命令，你将可以看到这两个环境变量被注入到容器内。

   #进入容器内部查看环境变量
   kubectl exec -it wordpress-deployment-694f4c79b4-cpsxw  /bin/bash
   root@wordpress-deployment-694f4c79b4-cpsxw:/var/www/html# env
   WORDPRESS_DB_USER=admin
   WORDPRESS_DB_PASSWORD=1f2d1e2e67df

6. kubernetes.io/dockerconfigjson

   #可以直接用kubectl命令来创建用于docker registry认证的secret：
   kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
   secret "myregistrykey" created

   #也可以直接读取~/.docker/config.json的内容来创建：
   cat ~/.docker/config.json | base64
   cat > myregistrykey.yaml << EOF
   apiVersion: v1
   kind: Secret
   metadata:
       name: myregistrykey
   data:
       .dockerconfigjson: UmVhbGx5IHJlYWxseSByZWVlZWVlZWVlZWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWFhYWxsbGxsbGxsbGxsbGxsbGxsbGxsbGxsbGxsbGxsbGx5eXl5eXl5eXl5eXl5eXl5eXl5eSBsbGxsbGxsbGxsbGxsbG9vb29vb29vb29vb29vb29vb29vb29vb29vb25ubm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg==
   type: kubernetes.io/dockerconfigjson
   EOF

   #创建
   kubectl create -f myregistrykey.yaml

7. 实战kubernetes.io/dockerconfigjson的运用

   #在创建Pod的时候，通过imagePullSecrets来引用刚创建的myregistrykey:
   apiVersion: v1
   kind: Pod
   metadata:
       name: foo
   spec:
       containers:
           - name: foo
               image: janedoe/awesomeapp:v1
       imagePullSecrets:
           - name: myregistrykey

8. Service Account类型

   #Service Account用来访问Kubernetes API，由Kubernetes自动创建，并且会
   自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中。
   kubectl run nginx --image nginx
   deployment "nginx" created
   kubectl get pods
   NAME                     READY     STATUS    RESTARTS   AGE
   nginx-3137573019-md1u2   1/1       Running   0          13s
   kubectl exec nginx-3137573019-md1u2 ls /run/secrets/kubernetes.io/serviceaccount
   ca.crt
   namespace
   token