ConfigMap
一、ConfigMap的几种形式：
1)查看帮助：
kubectl create configmap -h
2)通过文件夹创建：
kubectl create cm cmfromdir --from-file=conf/
3)通过文件创建：
kubectl create cm cmfromfile --from-file=conf/redis.conf
4)通过文件创建（另起别名）
kubectl create cm cmspecialname --from-file=game-conf=game.conf
kubectl create cm cmspecialname2 --from-file=game-conf=game.conf --from-file=redis-conf=redis.conf
5)通过环境变量创建
kubectl create cm gameenvcm --from-env-file=game.conf
kubectl create cm envfromliteral --from-literal=level=INFO --from-literal=PASSWORD=redis123
6)通过配置文件创建
kubectl create -f cm.yaml
二、环境变量定义
1、使用valueFrom定义
1)创建deployment资源文件
kubectl create deploy dp-cm \
--image=registry.cn-beijing.aliyuncs.com/dotbalo/nginx \
--dry-run=client -oyaml > dp-cm.yaml
2)定义环境变量configmap
env:
- name: TEST_ENV
value: testenv
- name: LIVES
valueFrom:
configMapKeyRef:
name: gameenvcm
key: lives
- name: test_env
valueFrom:
configMapKeyRef:
name: gameenvcm
key: test_env
2、使用envFrom定义环境变量
1)envFrom定义
containers:
- image: registry.cn-beijing.aliyuncs.com/dotbalo/nginx
name: nginx
envFrom:
- configMapRef:
name: gameenvcm
prefix: fromCm_
env:
- name: TEST_ENV
value: testenv
- name: LIVES
valueFrom:
configMapKeyRef:
name: gameenvcm
key: lives
三、以文件的形式挂载ConfigMap
spec:
containers:
- image: registry.cn-beijing.aliyuncs.com/dotbalo/nginx
name: nginx
volumeMounts:
- name: redisconf
mountPath: /etc/config
- name: cmfromfile
mountPath: /etc/config2
volumes:
- name: redisconf
configMap:
name: redis-conf
- name: cmfromfile
configMap:
name: cmfromfile
四、自定义挂载权限及名称
volumes:
- name: redisconf
configMap:
name: redis-conf
- name: cmfromfile
configMap:
name: cmfromfile
items:
- key: redis.conf
path: redis.conf.bak
- key: redis.conf
path: redis.conf.bak2
mode: 0644 # 优先级高
defaultMode: 0666 # 328
Secret
一、Secret常用类型：
` Opaque：通用型Secret，默认类型；`
` kubernetes.io/service-account-token：作用于ServiceAccount，包含一个令牌，用于标识API服务账户；`
` kubernetes.io/dockerconfigjson：下载私有仓库镜像使用的Secret，和宿主机的/root/.docker/config.json一致，宿主机登录后即可产生该文件；`
kubernetes.io/basic-auth：用于使用基本认证（账号密码）的Secret，可以使用Opaque取代；
kubernetes.io/ssh-auth：用于存储ssh密钥的Secret；
kubernetes.io/tls：用于存储HTTPS域名证书文件的Secret，可以被Ingress使用；
bootstrap.kubernetes.io/token：一种简单的 bearer token，用于创建新集群或将新节点添加到现有集群，在集群安装时可用于自动颁发集群的证书。
二、使用Secret拉取私有仓库镜像
1)创建Secret私有仓库：
docker-registry：指定Secret的类型
myregistrykey： Secret名称
DOCKER_REGISTRY_SERVER：镜像仓库地址
DOCKER_USER：镜像仓库用户名，需要有拉取镜像的权限
DOCKER_PASSWORD：镜像仓库密码
DOCKER_EMAIL：邮箱信息，可以为空
kubectl create secret docker-registry myregistrykey \
--docker-server=DOCKER_REGISTRY_SERVER \
--docker-username=DOCKER_USER \
--docker-password=DOCKER_PASSWORD \
--docker-email=DOCKER_EMAIL
2)使用Secret私有仓库：
spec:
imagePullSecrets:
- name: myregistry
containers:
三、使用Secret管理HTTPS证书
1)生成证书
openssl req -x509 -nodes -days 365 \
-newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN=test.com"
kubectl create secret tls nginx-test-tls --key=tls.key --cert=tls.crt
2)ingress中使用证书
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
name: nginx-https-test
namespace: default
annotations:
kubernetes.io/ingress.class: "nginx"
spec:
rules:
- host: https-test.com
http:
paths:
- backend:
serviceName: nginx-svc
servicePort: 80
tls:
- secretName: nginx-test-tls
四、ConfigMap&Secret热更新
kubectl create cm nginx-conf --from-file=nginx.conf --dry-run=client -oyaml | kubectl replace -f -
五、ConfigMap&Secret使用限制
提前场景ConfigMap和Secret
引用Key必须存在
envFrom、valueFrom无法热更新环境变量
envFrom配置环境变量，如果key是无效的，它会忽略掉无效的key
ConfigMap和Secret必须要和Pod或者是引用它资源在同一个命名空间
subPath也是无法热更新的
ConfigMap和Secret最好不要太大