Kubernetes Secret

閱讀時間約 8 分鐘


raw-image

甚麼是secret

在 Kubernetes 裡,Secret 就像是一個保險箱,可以放你任何不想公開的東西。比如說密碼、API 金鑰、憑證等,這樣的資料可能會被放在 Pod 裡,但你可以用 Secret 來避免直接在應用程式的程式碼中暴露這些機密資料。 可以說 Secret 就像是 ConfigMap 的一個好朋友,但更專門用來保護機密資料的地方。

為甚麼需要secret

最主要的用意是保護你的敏感資訊,不讓它們在 Pod 或容器中以明文流傳。這樣可以讓我們的應用程式變得更安全,減少機密資訊外洩的風險。還能讓你的秘密資料在不同 Pod 之間分享,並且保有安全性。

何時使用secret

  1. 保存必要應用程式的憑證,如 TLS 證書,以確保安全通信。
  2. 儲存應用程式所需的金鑰,包括外部服務的 API 金鑰,確保安全連接。
  3. 保管敏感的環境變數,如資料庫密碼等機密驗證資訊,維護應用程式安全性。
  4. 安全儲存驗證資訊,如 OAuth 令牌,用於與其他應用程式進行安全交互。
  5. 維持隱私的配置設定,如設定文件、金鑰路徑等,確保敏感資訊不外洩。

secret的類型有哪些

  • Opaque:使用者定義的任意資料
  • kubernetes.io/service-account-token:服務帳戶令牌
  • kubernetes.io/dockercfg:~/.dockercfg 檔案的序列化形式
  • kubernetes.io/dockerconfigjson:~/.docker/config.json 檔案的序列化形式
  • kubernetes.io/basic-auth:用於基本身份驗證的憑證
  • kubernetes.io/ssh-auth:用於 SSH 身份驗證的憑證
  • kubernetes.io/tls:用於 TLS 客戶端或伺服器端的資料
  • bootstrap.kubernetes.io/token:啟動引導令牌資料

如何撰寫使用secret

建立secret

  1. 聲明式
apiVersion: v1
kind: Secret
metadata:
name: my-secret
data:
username: YWRtaW4= # Base64 編碼的 "admin"
password: c2VjcmV0cGFzc3dvcmQ= # Base64 編碼的 "secretpassword"

2. 宣告式

  • 從命令行傳遞資訊建立secret
kubectl create secret generic my-secret --from-literal=username=admin --from-literal=password=secretpassword
  • 從檔案建立secret
kubectl create secret generic my-secret --from-file=path/to/username.txt --from-file=path/to/password.txt

使用secret

我們可以用剛剛創建的 my-secret 來做以下的範例

  1. secret作為環境變數
apiVersion: v1
kind: Pod
metadata:
name: secret-env-demo-pod
spec:
containers:
- name: demo-container
image: busybox
command: ["/bin/sh", "-c", "echo Username: $USERNAME && echo Password: $PASSWORD"]
env:
- name: USERNAME
valueFrom:
secretKeyRef:
name: my-secret
key: username
- name: PASSWORD
valueFrom:
secretKeyRef:
name: my-secret
key: password
restartPolicy: Never

透過kubectl logs secret-env-demo-pod查看log

Username: admin
Password: secretpassword

2. 將secret掛載到一個或多個容器

apiVersion: v1
kind: Pod
metadata:
name: secret-volume-demo-pod
spec:
containers:
- name: first-container
image: busybox
command: ["/bin/sh", "-c", "cat /etc/secret/username"]
volumeMounts:
- name: secret-volume
mountPath: /etc/secret
- name: second-container
image: busybox
command: ["/bin/sh", "-c", "cat /etc/secret/password"]
volumeMounts:
- name: secret-volume
mountPath: /etc/secret
volumes:
- name: secret-volume
secret:
secretName: my-secret

使用以下命令檢查輸出

kubectl logs secret-volume-demo-pod -c first-container
kubectl logs secret-volume-demo-pod -c second-container

output

## first-container
admin

## second-container
secretpassword

3. secret作為拉取private registry image時使用

apiVersion: v1
kind: Pod
metadata:
name: secret-imagepull-demo-pod
spec:
containers:
- name: demo-container
image: <private_registry_image>
imagePullSecrets:
- name: my-secret

secret有哪些特點

  1. 強大的資料加密:Secret 的一大優點在於它可以對敏感資料進行強大的加密保護。這保障了秘密資訊不會輕易被未授權的人看到,大幅減低了資訊外洩的風險。
  2. Base64 編碼的轉換:Secret 在儲存資料時會使用 Base64 編碼,但是請注意這並非最高等級的安全標準,它不能取代真正的加密方法。這樣的編碼能夠保護資料,但需要在操作時謹慎以保障資訊安全。
  3. 簡便的整合:透過 Secret,我們能夠輕鬆地將敏感資料整合到應用程式中,例如透過環境變數、掛載資料夾等方式,讓 Pod 可以無縫地使用這些敏感資料。
  4. 安全的資訊分享:Secret 也提供了一種安全的方式,讓不同的 Pod 或其他 Kubernetes 資源可以共用敏感資訊,同時保持資料的保密性。這讓不同部分的應用能夠互相協作,同時不會威脅資訊安全。

Reference

17會員
83內容數
golang
留言0
查看全部
發表第一個留言支持創作者!
Alan的開發者天地 的其他內容
👨‍💻簡介 今天早上在下kubectl get pods時,突然跳出了以下錯誤 Unable to connect to the server: x509: certificate has expired or is not yet valid
👨‍💻簡介 因在wsl環境下使用websocket通訊協議,並在windows使用postman發生連線被拒 嘗試了localhost與127.0.0.1都無效,爬文後找到了一些解決辦法,這邊簡單紀錄一下
👨‍💻簡介 從來沒想過部署可以如此的方便快速,第一次接觸到Zeabur的時候覺得他跟一般的雲端服務商差不多,架設網站用個vm之類的,但仔細去摸索後才發現他是個想讓開發人員專注在寫扣這件事上,不需去管任何infra相關事項的一個服務,像是架設wordpress需要sql,就簡單的點兩下即可完
什麼是 Kubernetes Deployment? 一樣先來個官網解說 A Deployment provides declarative updates for Pods and ReplicaSets. You describe a desired state in a Deployment,
👨‍💻Intro 為了實現vscode在wsl環境下使用ssh連接到gce的需求,在爬文後找到一篇解法,因此記錄下來,方便日後查詢 🎯setup 建立ssh.bat檔案,並放在windows下任意位置 2. vscode設定ssh.bat路徑 打開vscode的settings -> exte
GitLab不僅是一個源代碼管理工具,它還提供了一個統一的平台,將開發、運營和安全等流程整合在一起。通過GitLab,可以在單一的應用程序中進行專案計劃、源代碼管理、分支控制、CI/CD等操作。不論角色為何,GitLab提供了一個統一的資訊來源,讓你輕鬆地管理和追蹤整個開發流程。它消除了工具鏈的複雜
👨‍💻簡介 今天早上在下kubectl get pods時,突然跳出了以下錯誤 Unable to connect to the server: x509: certificate has expired or is not yet valid
👨‍💻簡介 因在wsl環境下使用websocket通訊協議,並在windows使用postman發生連線被拒 嘗試了localhost與127.0.0.1都無效,爬文後找到了一些解決辦法,這邊簡單紀錄一下
👨‍💻簡介 從來沒想過部署可以如此的方便快速,第一次接觸到Zeabur的時候覺得他跟一般的雲端服務商差不多,架設網站用個vm之類的,但仔細去摸索後才發現他是個想讓開發人員專注在寫扣這件事上,不需去管任何infra相關事項的一個服務,像是架設wordpress需要sql,就簡單的點兩下即可完
什麼是 Kubernetes Deployment? 一樣先來個官網解說 A Deployment provides declarative updates for Pods and ReplicaSets. You describe a desired state in a Deployment,
👨‍💻Intro 為了實現vscode在wsl環境下使用ssh連接到gce的需求,在爬文後找到一篇解法,因此記錄下來,方便日後查詢 🎯setup 建立ssh.bat檔案,並放在windows下任意位置 2. vscode設定ssh.bat路徑 打開vscode的settings -> exte
GitLab不僅是一個源代碼管理工具,它還提供了一個統一的平台,將開發、運營和安全等流程整合在一起。通過GitLab,可以在單一的應用程序中進行專案計劃、源代碼管理、分支控制、CI/CD等操作。不論角色為何,GitLab提供了一個統一的資訊來源,讓你輕鬆地管理和追蹤整個開發流程。它消除了工具鏈的複雜
你可能也想看
Google News 追蹤
Thumbnail
接下來第二部分我們持續討論美國總統大選如何佈局, 以及選前一週到年底的操作策略建議 分析兩位候選人政策利多/ 利空的板塊和股票
Thumbnail
🤔為什麼團長的能力是死亡筆記本? 🤔為什麼像是死亡筆記本呢? 🤨作者巧思-讓妮翁死亡合理的幾個伏筆
Thumbnail
在人群中,我們被彼此異樣的眼光吸引 在那瞬間,彷彿閱讀了空氣裡最熟悉的舊時光 在歡笑聲中,那個萬眾矚目的光,無法去否定他,你知道那是你的歸屬 房子裡,像風一般走進一個身影 :我知道你的過去,你知道我的未來對吧 我們是活在彼此不同時間點的陌生好友,我住在他的過去,他卻住在我的未來 小的時候因為一場遊戲
Thumbnail
Kubernetes是什麼? 1. Kubernetes是Google嚴格保密十幾年的秘密武器——Borg的一個開放原始碼版本。 2. Kubernetes是一個開放的開發平台。 3. Kubernetes是一個完備的分散式系統支撐平台。
Autoscaling 的目的是當有大量請求時,系統可以自動的增加運算資源,處理當下的大量請求;也可以根據當下資源使用率低時,自動降低運算資源,達到省錢的目的。
Thumbnail
秘密這本書從2008年出版到現在想必大家都不陌生了,對於書的內容有人相信,有人覺得不就是普通的勵志書籍?習慣負面思考,在悲傷的情緒裡自暴自棄,往下沈溺,事情最壞也不過如此的舔舐傷口,它是慢性的毒藥,靈魂上的毒瘤,世界總是一樣的轉動,他人一樣的生活,你呢?        
Thumbnail
對於那些在我夢中死去的你們,我深感抱歉。 我用如悶雷的巨響,結束了從空中墜落來不及發出怨言的你。 空洞的雙眼,是你被從湖裡撈起時對我的指責。 逆光中垂吊著身體的你。浸泡在浴缸裡一片血海的你。沉睡至無盡黑夜裡的你。 謝謝你們預演著我想對待自己的方式, 隔天遇到你,我揚起微笑,守著這個黑夜裡的秘密,
CBD oil or cannabidiol is an active, non-psychoactive constituent found in marijuana and hemp that has been proven effective for treating epilepsy. It
Thumbnail
完整標題:secretary 與「協助的人員」或「協助別特人員」或「信任的人員」或「寫記的人員」及「秘書」或「史官職」的轉換密碼
Thumbnail
接下來第二部分我們持續討論美國總統大選如何佈局, 以及選前一週到年底的操作策略建議 分析兩位候選人政策利多/ 利空的板塊和股票
Thumbnail
🤔為什麼團長的能力是死亡筆記本? 🤔為什麼像是死亡筆記本呢? 🤨作者巧思-讓妮翁死亡合理的幾個伏筆
Thumbnail
在人群中,我們被彼此異樣的眼光吸引 在那瞬間,彷彿閱讀了空氣裡最熟悉的舊時光 在歡笑聲中,那個萬眾矚目的光,無法去否定他,你知道那是你的歸屬 房子裡,像風一般走進一個身影 :我知道你的過去,你知道我的未來對吧 我們是活在彼此不同時間點的陌生好友,我住在他的過去,他卻住在我的未來 小的時候因為一場遊戲
Thumbnail
Kubernetes是什麼? 1. Kubernetes是Google嚴格保密十幾年的秘密武器——Borg的一個開放原始碼版本。 2. Kubernetes是一個開放的開發平台。 3. Kubernetes是一個完備的分散式系統支撐平台。
Autoscaling 的目的是當有大量請求時,系統可以自動的增加運算資源,處理當下的大量請求;也可以根據當下資源使用率低時,自動降低運算資源,達到省錢的目的。
Thumbnail
秘密這本書從2008年出版到現在想必大家都不陌生了,對於書的內容有人相信,有人覺得不就是普通的勵志書籍?習慣負面思考,在悲傷的情緒裡自暴自棄,往下沈溺,事情最壞也不過如此的舔舐傷口,它是慢性的毒藥,靈魂上的毒瘤,世界總是一樣的轉動,他人一樣的生活,你呢?        
Thumbnail
對於那些在我夢中死去的你們,我深感抱歉。 我用如悶雷的巨響,結束了從空中墜落來不及發出怨言的你。 空洞的雙眼,是你被從湖裡撈起時對我的指責。 逆光中垂吊著身體的你。浸泡在浴缸裡一片血海的你。沉睡至無盡黑夜裡的你。 謝謝你們預演著我想對待自己的方式, 隔天遇到你,我揚起微笑,守著這個黑夜裡的秘密,
CBD oil or cannabidiol is an active, non-psychoactive constituent found in marijuana and hemp that has been proven effective for treating epilepsy. It
Thumbnail
完整標題:secretary 與「協助的人員」或「協助別特人員」或「信任的人員」或「寫記的人員」及「秘書」或「史官職」的轉換密碼