k8s (十) --- Kubernetes 存储 之 Secret
Kubernetes 存储 之 Secret
- 一、Secret简介
- 二、Service Account
- 三、Opaque Secret
- 通过命令创建Secret
- 通过yaml文件创建Secret
- 将Secret挂载到Volume中
- 将Secret设置为环境变量
- 四、kubernetes.io/dockerconfigjson 类型
一、Secret简介
Secret对象类型用来保存敏感信息，例如密码、OAuth令牌和ssh key。
敏感信息放在Secret中比放在Pod的定义或者容器镜像中来说更加安全和灵活。
Pod可以用两种方式来使用Secret：
- 作为volume中的文件被挂载到pod中的一个或多个容器中。
- 当kubelet为pod拉取镜像时使用。
Secret的类型：
- Service Account：Kubernetes自动创建包含访问API凭据的secret，并自动修改pod以使用此类型的secret。
- Opaque：使用base64编码储存信息，可以通过base64 --decode解码获得原始数据，因此安全性弱。
- kubernetes.io/dockerconfigjson：用来存储docker registy的认证信息。
二、Service Account
serviceaccount创建时Kubernetes会默认创建对应的secret。对应的secret会自动挂载到Pod的/var/run/secrets/kubernetes.io/serviceaccount目录中：
创建测试目录：
[root@server1 ~]# mkdir secert
[root@server1 ~]# cd secert/
运行一个pod查看详细信息：
[root@server1 secert]# kubectl run test --image=busybox --restart=Never
pod/test created
[root@server1 secert]# kubectl get pod
NAME READY STATUS RESTARTS AGE
test 0/1 Completed 0 12s
[root@server1 secert]# kubectl describe pod test
查看serviceaccount：
[root@server1 secert]# kubectl get sa
NAME SECRETS AGE
default 1 11d
[root@server1 secert]# kubectl describe sa default
Name: default
Namespace: default
Labels: <none>
Annotations: <none>
Image pull secrets: <none>
Mountable secrets: default-token-25448
Tokens: default-token-25448
Events: <none>
可以看出上述命令输出的secrets和pod内挂载的相同。
实验后删除pod：
[root@server1 secert]# kubectl delete pod test
pod "test" deleted
也可以进入容器内部查看token信息：
[root@server1 secert]# kubectl run test --image=busybox -it
If you don't see a command prompt, try pressing enter.
/ # cd /var/run/secrets/kubernetes.io/
/var/run/secrets/kubernetes.io # ls
serviceaccount
/var/run/secrets/kubernetes.io # cd serviceaccount/
/var/run/secrets/kubernetes.io/serviceaccount # ls
ca.crt namespace token
Secret挂载目录下有3个文件 ca.crt namespace token。
每个namespace下有一个名为default的默认Service Account对象：
[root@server1 secert]# kubectl get secrets
NAME TYPE DATA AGE
basic-auth Opaque 1 3d20h
default-token-25448 kubernetes.io/service-account-token 3 11d
tls-secret kubernetes.io/tls 2 3d20h
其他两个是之前实验做ingress加密认证时用的。
Service Account里有一个名为token的里可以作为Volume一样被Mount到Pod里的Secret，当pod启动时这个Secret会被自动挂载到pod的指定目录下，用来协助完成pod中的进程访问API Server时的身份鉴权过程。
三、Opaque Secret
Opaque Secret其value为base64加密后的值。
通过命令创建Secret
从文件中创建Secret：
[root@server1 secert]# echo -n 'admin' > ./username.txt
[root@server1 secert]# echo -n 'redhat' > ./password.txt
[root@server1 secert]# cat username.txt
admin[root@server1 secert]#
[root@server1 secert]# cat password.txt
redhat[root@server1 secert]#
创建secret：
[root@server1 secert]# kubectl create secret generic my-secret --from-file=username.txt --from-file=password.txt
secret/my-secret created
上述创建secret的命令中，generic表示通用，my-secret为secret的名称，–from-file= 表示从文件中创建。
查看创建的secret：
[root@server1 secert]# kubectl get secrets
NAME TYPE DATA AGE
basic-auth Opaque 1 3d20h
default-token-25448 kubernetes.io/service-account-token 3 11d
my-secret Opaque 2 6s
tls-secret kubernetes.io/tls 2 3d20h
查看详细信息：
[root@server1 secert]# kubectl describe secrets my-secret
Name: my-secret
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
====
password.txt: 6 bytes #可以看出时加密的信息
username.txt: 5 bytes
也可以通过输出为yaml格式查看：
[root@server1 secert]# kubectl get secrets my-secret -o yaml
上图中的加密信息可以通过以下命令解码：
[root@server1 secert]# echo cmVkaGF0 | base64 -d
redhat[root@server1 secert]#
因此这种方式是一种伪加密的方法。
在定义密码信息时，如果密码有特殊字符，则需要使用\ 转义符对其进行转义，比如原密码为A!B\C*D则需要以下方式创建（–from-literal表示通过字符创建）：
[root@server1 secert]# kubectl create secret generic 1-secret --from-literal=username=devuser --from-literal=password=A\!B\\C\*D
secret/1-secret created
[root@server1 secert]# kubectl get secrets
NAME TYPE DATA AGE
1-secret Opaque 2 3s
basic-auth Opaque 1 3d20h
default-token-25448 kubernetes.io/service-account-token 3 11d
my-secret Opaque 2 3m12s
tls-secret kubernetes.io/tls 2 3d20h
[root@server1 secert]# kubectl get secrets 1-secret -o yamlapiVersion: v1
解码查看原密码：
[root@server1 secert]# echo QSFCXEMqRA== | base64 -d
A!B\C*D[root@server1 secert]#
通过yaml文件创建Secret
首先查看用户名和密码的加密字符：
[root@server1 secert]# echo -n 'admin' | base64
YWRtaW4=
[root@server1 secert]# echo -n 'redhat' | base64
cmVkaGF0
编辑yaml文件：
[root@server1 secret]# vim secret.yaml
[root@server1 secret]# cat secret.yaml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
data:
username: YWRtaW4= #写文件时信息要求是base64编码过的
password: cmVkaGF0
创建Secret并查看信息：
[root@server1 secret]# kubectl create -f secret.yaml
secret/mysecret created
[root@server1 secret]# kubectl describe secrets mysecret
Name: mysecret
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
====
password: 6 bytes
username: 5 bytes
[root@server1 secret]# kubectl get secrets mysecret -o yaml
可以看出和命令创建的没有什么区别。
将Secret挂载到Volume中
[root@server1 secret]# vim pod.yaml
[root@server1 secret]# cat pod.yaml
apiVersion: v1
kind: Pod
metadata:
name: mysecret
spec:
containers:
- name: nginx
image: nginx
volumeMounts:
- name: secrets
mountPath: "/secret" #挂载路径
readOnly: true #默认权限是读写
volumes:
- name: secrets
secret:
secretName: mysecret
创建pod：
[root@server1 secret]# kubectl create -f pod.yaml
pod/mysecret created
[root@server1 secret]# kubectl get pod
NAME READY STATUS RESTARTS AGE
mysecret 1/1 Running 0 11s
进入容器确认：
[root@server1 secret]# kubectl exec -it mysecret -- bash
root@mysecret:/# cd /secret/
root@mysecret:/secret# ls
\password username
root@mysecret:/secret# ls
password username
root@mysecret:/secret# cat password
redhatroot@mysecret:/secret#
root@mysecret:/secret# cat username
adminroot@mysecret:/secret#
root@mysecret:/secret# exit
可以看出信息是mysecret中的信息，key为文件名，vlaue为文件内容。
实验后删除：
[root@server1 secret]# kubectl delete -f pod.yaml
pod "mysecret" deleted
上面的实验中所有的key和value都被挂载进入了指定目录，我们也可以指定key挂载：
[root@server1 secret]# vim pod1.yaml
[root@server1 secret]# cat pod1.yaml
apiVersion: v1
kind: Pod
metadata:
name: mysecret
spec:
containers:
- name: nginx
image: nginx
volumeMounts:
- name: secrets
mountPath: "/secret"
readOnly: true
volumes:
- name: secrets
secret:
secretName: mysecret
items:
- key: username
path: my-group/my-username #相对路径，绝对路径为/secret/my-group/my-username
[root@server1 secret]# kubectl create -f pod1.yaml
pod/mysecret created
[root@server1 secret]# kubectl get pod
NAME READY STATUS RESTARTS AGE
mysecret 1/1 Running 0 8s
进入容器查看：
[root@server1 secret]# kubectl exec -it mysecret -- bash
root@mysecret:/# cd /secret/
root@mysecret:/secret# ls
my-group
root@mysecret:/secret# cd my-group
root@mysecret:/secret/my-group# ls
my-username
root@mysecret:/secret/my-group# cd my-username
bash: cd: my-username: Not a directory
root@mysecret:/secret/my-group# cat my-username
adminroot@mysecret:/secret/my-group#
root@mysecret:/secret/my-group#
可以看出指定的key被挂载到了我们指定的路径。
实验后删除：
[root@server1 secret]# kubectl delete -f pod1.yaml
pod "mysecret" deleted
将Secret设置为环境变量
[root@server1 secret]# vim pod2.yaml
[root@server1 secret]# cat pod2.yaml
apiVersion: v1
kind: Pod
metadata:
name: secret-env
spec:
containers:
- name: nginx
image: nginx
env:
- name: SECRET_USERNAME
valueFrom:
secretKeyRef:
name: mysecret
key: username
- name: SECRET_PASSWORD
valueFrom:
secretKeyRef:
name: mysecret
key: password
可以看出Secret创建env变量和configmap类似。
创建pod：
[root@server1 secret]# kubectl create -f pod2.yaml
pod/secret-env created
[root@server1 secret]# kubectl get pod
NAME READY STATUS RESTARTS AGE
secret-env 1/1 Running 0 9s
进入容器查看：
[root@server1 secret]# kubectl exec -it secret-env -- bash
环境变量读取Secret很方便，但无法支撑Secret热更新，可以通过是删除pod或者更改version来触发更新（和configmap相同）。
实验后删除：
[root@server1 secret]# kubectl delete -f pod2.yaml
pod "secret-env" deleted
四、kubernetes.io/dockerconfigjson 类型
kubernetes.io/dockerconfigjson用于存储docker registry的认证信息。
harbor仓库的部署可以参考：https://blog.csdn.net/qq_35887546/article/details/105411743
我们现在有一个harbor私有仓库cl：
在server3退出登陆然后尝试拉取私有仓库镜像：
[root@server3 ~]# docker logout reg.westos.org
Not logged in to reg.westos.org
[root@server3 ~]# docker pull reg.westos.org/cl/ubuntu
Using default tag: latest
Error response from daemon: pull access denied for reg.westos.org/cl/ubuntu, repository does not exist or may require 'docker login': denied: requested access to the resource is denied
拉取失败，提示需要登陆才能拉取。
我们现在就来配置认证信息：
编辑pod的创建文件，pod中使用的镜像是私有仓库的镜像。
[root@server1 secret]# vim pod3.yaml
[root@server1 secret]# cat pod3.yaml
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: nginx
image: reg.westos.org/cl/nginx
imagePullSecrets:
- name: myregistrykey #使用的Secret名称
之后创建包含认证信息的Secret：
[root@server1 secret]# kubectl create secret docker-registry myregistrykey --docker-username=admin --docker-password=Harbor12345 --docker-server=reg.westos.org --docker-email=cl82@11.com
secret/myregistrykey created
上面的命令中，secret类型为docker-registry，secret名称为myregistrykey，--docker-username表示仓库用户名，--docker-password仓库密码，--docker-server表示仓库服务器地址，--docker-email表示仓库邮箱。查看secret详细信息：
[root@server1 secret]# kubectl get secrets myregistrykey -o yaml
可以看出类型为：kubernetes.io/dockerconfigjson
之后创建pod：
[root@server1 secret]# kubectl create -f pod3.yaml
pod/mypod created
[root@server1 secret]# kubectl get pod
NAME READY STATUS RESTARTS AGE
mypod 1/1 Running 0 4s
可以看出pod正常运行。
实验后删除：
[root@server1 secret]# kubectl delete -f pod3.yaml