了解 kubernetes spring 啟動應用程序中的采購秘密

Question

我正在按照本指南使用機密： https://docs.spring.io/spring-cloud-kubernetes/docs/current/reference/html/index.html#secrets-propertysource 。

粗略地說。

1. 保存秘密

2. 在 deployment.yml 文件中引用秘密

    containers: - env: - name: DB_USERNAME valueFrom: secretKeyRef: name: db-secret key: username - name: DB_PASSWORD valueFrom: secretKeyRef: name: db-secret key: password

3. 然后它說“您可以通過多種方式使用 select 的秘密：”並給出 3 個示例。 但是，如果不執行任何這些步驟，我仍然可以完美地看到我的環境中的秘密。 此外，步驟 1 和步驟 2 中的操作獨立於 spring 引導（保存並將秘密移動到環境變量中）

我的問題：

1. 如果我進行第 3 步中建議的更改，它會對我的容器/應用程序/pod 進行哪些更改/改進？
2. 有沒有辦法能夠避免步驟 1 中的所有映射並將所有秘密放在一個環境中？
3. 他們寫 -Dspring.cloud.kubernetes.secrets.paths=/etc/secrets 來獲取所有秘密，他們怎么知道秘密在一個名為 /etc/ 的文件夾中

Answer 1

您可以通過以下方式從秘密掛載所有環境變量：

      containers:
        - name: app
          envFrom:
          - secretRef:
              name: db-secret

至於 Spring 從哪里獲得秘密 - 我不是 Spring 的專家，但您提供的鏈接中似乎已經有解釋：

啟用后，Fabric8SecretsPropertySource 會在 Kubernetes 中查找來自以下來源的 Secret：

從秘密掛載中遞歸讀取

以應用程序命名（由 spring.application.name 定義）

匹配一些標簽

所以它從秘密掛載中獲取秘密（如果你將它們掛載為卷）。 它還掃描 Kubernetes API 中的秘密（我猜在應用程序運行的相同命名空間中）。 它可以通過使用 Kubernetes 服務帳戶令牌來做到這一點，默認情況下總是掛載到 pod 中。 這取決於 Kubernetes RBAC 權限授予 pod 的服務帳戶。

因此它嘗試使用 Kubernetes API 搜索秘密，並將它們與應用程序名稱或應用程序標簽進行匹配。