一、ConfigMap
1、简介
ConfigMap允许你将配置文件与镜像文件分离，以使容器化的应用程序具有可移植性。ConfigMap API给我们提供了向容器中注入配置信息的机制，ConfigMap可以被用来保存单个属性，也可以用来保存整个配置文件或者JSON二进制大对象。
data 一栏包括了配置数据，ConfigMap 可以被用来保存单个属性，也可以用来保存一个配置文件。 配置数据可以通过很多种方式在 Pods 里被使用。ConfigMaps 可以被用来：
配置数据可以通过很多种方式在Pods里被使用。ConfigMaps可以被用来：
1. 设置环境变量的值
2. 在容器里设置命令行参数
3. 在数据卷里面创建config文件
用户和系统组件两者都可以在ConfigMap里面存储配置数据。
2、创建
2.1、使用目录或文件创建
可以使用kubectl create configmap name --from-file= 从同一个目录中的多个文件创建ConfigMap
SQL
1、下载相关的配置
wget https://kubernetes.io/examples/configmap/game.properties
wget https://kubernetes.io/examples/configmap/ui.properties
2、创建configmapconfigmap: kubectl create configmap <map-name> <data-source> --from-file可以接单个文件，也可以接目录
####接目录
[root@k8s-master configmap]# kubectl create configmap dame-config --from-file=./
configmap/dame-config created
####接单个文件
[root@k8s-master configmap]# kubectl create cm game-config2 --from-file=game.properties --from-file=ui.properties
configmap/game-config2 created
3、查看相关的配置
[root@k8s-master configmap]# kubectl get cm
NAME DATA AGE
dame-config 2 7m29s
game-config2 2 6m13s
kube-root-ca.crt 1 44d
[root@k8s-master configmap]# kubectl describe cm/dame-config
Name: dame-config
Namespace: default
Labels: <none>
Annotations: <none>
Data
====
game.properties:
----
enemies=aliens
lives=3
enemies.cheat=true
enemies.cheat.level=noGoodRotten
secret.code.passphrase=UUDDLRLRBABAS
secret.code.allowed=true
secret.code.lives=30
ui.properties:
----
color.good=purple
color.bad=yellow
allow.textmode=true
how.nice.to.look=fairlyNice
Events: <none>
[root@k8s-master configmap]# kubectl describe cm/game-config2
Name: game-config2
Namespace: default
Labels: <none>
Annotations: <none>
Data
====
game.properties:
----
enemies=aliens
lives=3
enemies.cheat=true
enemies.cheat.level=noGoodRotten
secret.code.passphrase=UUDDLRLRBABAS
secret.code.allowed=true
secret.code.lives=30
ui.properties:
----
color.good=purple
color.bad=yellow
allow.textmode=true
how.nice.to.look=fairlyNice
Events: <none>
2.2、从env文件创建
当使用多个--from-env-file来从多个数据源创建configmap时，仅仅最后一个env文件有效。
环境文件包含环境变量列表。
语法规则：
env:文件中的每一行必须为VAR = VAL格式。
以＃开头的行(即注释)将被忽略。
空行将被忽略。
引号没有特殊处理(即它们将成为 ConfigMap 值的一部分)。
Makefile
1、下载对应的测试文件
wget https://kubernetes.io/examples/configmap/game-env-file.properties
[root@k8s-master configmap]# cat game-env-file.properties
enemies=aliens
lives=3
allowed="true"
2、创建config-map-env-file配置文件
[root@k8s-master configmap]# kubectl create configmap game-config-env-file --from-env-file=game-env-file.properties
configmap/game-config-env-file created
[root@k8s-master configmap]# kubectl get cm/game-config-env-file -o yaml
apiVersion: v1
data:
allowed: '"true"'
enemies: aliens
lives: "3"
kind: ConfigMap
metadata:
creationTimestamp: "2022-05-09T02:42:04Z"
name: game-config-env-file
namespace: default
resourceVersion: "11386444"
uid: 8b1ad825-d3b1-481f-b3b7-8ce606aec388
2.3、命令创建
Kubectl create configmap 与--from-literal参数一起使用
YAML
1、创建配置文件
[root@k8s-master configmap]# kubectl create configmap special-config --from-literal=special.how=very --from-literal=special.type=charm
configmap/special-config created
2、查看和配置
[root@k8s-master configmap]# kubectl get cm
NAME DATA AGE
dame-config 2 30m
game-config-env-file 3 9m43s
game-config2 2 28m
kube-root-ca.crt 1 44d
special-config 2 3s
[root@k8s-master configmap]# kubectl get configmap/special-config -o yaml
apiVersion: v1
data:
special.how: very
special.type: charm
kind: ConfigMap
metadata:
creationTimestamp: "2022-05-09T02:51:44Z"
name: special-config
namespace: default
resourceVersion: "11388285"
uid: 60d2ca2e-b50f-48a8-910b-c97d4ecb5c9e
2.4、生成器创建
使用 kustomization 目录创建 ConfigMap 对象
YAML
[root@k8s-master configmap]# cat kustomization.yaml
configMapGenerator:
- name: game-config-4
files:
- game.properties
[root@k8s-master configmap]# kubectl create -k .
configmap/game-config-4-tbg7c4gc77 created
[root@k8s-master configmap]# kubectl get configmap/game-config-4-tbg7c4gc77 -o yaml
apiVersion: v1
data:
game.properties: |-
enemies=aliens
lives=3
enemies.cheat=true
enemies.cheat.level=noGoodRotten
secret.code.passphrase=UUDDLRLRBABAS
secret.code.allowed=true
secret.code.lives=30
kind: ConfigMap
metadata:
creationTimestamp: "2022-05-09T02:58:42Z"
name: game-config-4-tbg7c4gc77
namespace: default
resourceVersion: "11389637"
uid: 5e82a50f-f933-4c20-8007-0724a6829d7c
或者也可以使用生成器来实现。
Bash
cat <<EOF >./kustomization.yaml
configMapGenerator:
- name: special-config-2
literals:
- special.how=very
- special.type=charm
EOF
3、使用
3.1、env
使用 configMapKeyRef 传入值：
YAML
[root@k8s-master configmap]# cat configmap-env.yaml
apiVersion: v1
data:
special.how: very
special.type: charm
kind: ConfigMap
metadata:
name: special-config
---
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh", "-c", "env" ]
env:
- name: SPECIAL_LEVEL_KEY
valueFrom:
configMapKeyRef:
name: special-config
key: special.how
restartPolicy: Never
2、创建pod
[root@k8s-master configmap]# kubectl apply -f configmap-env.yaml
configmap/special-config created
pod/dapi-test-pod created
[root@k8s-master configmap]# kubectl get pod
NAME READY STATUS RESTARTS AGE
centos 1/1 Running 0 21h
dapi-test-pod 0/1 Completed 0 30s
3、查看日志
[root@k8s-master configmap]# kubectl logs dapi-test-pod |grep -i special
SPECIAL_LEVEL_KEY=very
上述yaml表示，新建一个名为SPECIAL_LEVEL_KEY的环境变量，其值来源于configMap里面的special.how
上一个例子是有指定一个具体的KEY，如果没有指定呢？
YAML
1、创建yaml
[root@k8s-master configmap]# cat configmap-env-no-key.yaml
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod2
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh", "-c", "env" ]
envFrom:
- configMapRef:
name: special-config
restartPolicy: Never
2、创建pod
[root@k8s-master configmap]# kubectl apply -f configmap-env-no-key.yaml
pod/dapi-test-pod2 created
3、查看日志
[root@k8s-master configmap]# kubectl logs dapi-test-pod2|grep -i special
special.type=charm
special.how=very
3.2、挂载文件目录法（可以使用 volumeMounts 方法进行挂载。）
YAML
1、创建pod的yml文件
[root@k8s-master configmap]# cat configmap-volumemounts.yaml
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod3
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh", "-c", "ls /etc/config/;cat /etc/config/special.how;cat /etc/config/special.type" ]
volumeMounts:
- name: config-volume
mountPath: /etc/config
volumes:
- name: config-volume
configMap:
name: special-config
restartPolicy: Never
2、创建pod并查看日志
[root@k8s-master configmap]# kubectl apply -f configmap-volumemounts.yaml
pod/dapi-test-pod3 created
[root@k8s-master configmap]# kubectl logs dapi-test-pod3
special.how
special.type
备注：
上述yaml表示将special-config这个cm挂载至/etc/config目录下。可以看到，
其每一个KEY都是会生成一个文件，文件的内容为value的值。
挂载单独的KEY:
YAML
[root@k8s-master configmap]# cat configmap-volumemounts-spec-key.yaml
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod4
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh","-c","cat /etc/config/keys;sleep 600" ]
volumeMounts:
- name: config-volume
mountPath: /etc/config
volumes:
- name: config-volume
configMap:
name: special-config
items:
- key: name.li
path: keys
restartPolicy: Never
[root@k8s-master configmap]# kubectl exec -it dapi-test-pod4 /bin/sh
kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl exec [POD] -- [COMMAND] instead.
/ # cat /etc/config/keys
lqb/ #
[root@k8s-master ~]# kubectl exec -it dapi-test-pod4 -- cat /etc/config/keys
very20220509
4、ConfigMap热更新的问题
Pod的 dapi-test-pod4保持运行。使用 kubectl edit cm special-config 去修改special.how的值。可以发现是可以更新的，但时间要超过30S。
CoffeeScript
[root@k8s-master ~]# kubectl exec -it dapi-test-pod4 -- cat /etc/config/keys
very20220509[root@k8s-master ~]# kubectl exec -it dapi-test-pod4 -- cat /etc/config/keys
very20220510[root@k8s-master ~]# kubectl exec -it dapi-test-pod4 -- cat /etc/config/keys
注意：使用volumes挂载的方式是可以更新configMap的，但是使用env方式导给POD是更新不了的。
5、使用ConfigMap挂载redis配置
YAML
1、相关的配置文件
[root@k8s-master configmap-redis]# cat kustomization.yaml
configMapGenerator:
- name: test-redis-config
files:
- redis-config
resources:
- redis-pod.yaml
[root@k8s-master configmap-redis]# cat redis-config
maxmemory 2mb
maxmemory-policy allkeys-lru
[root@k8s-master configmap-redis]# cat redis-pod.yaml
apiVersion: v1
kind: Pod
metadata:
name: redis
spec:
containers:
- name: redis
image: redis:5.0.4
command:
- redis-server
- "/redis-master/redis.conf"
env:
- name: MASTER
value: "true"
ports:
- containerPort: 6379
resources:
limits:
cpu: "0.1"
volumeMounts:
- mountPath: /redis-master-data
name: data
- mountPath: /redis-master
name: config
volumes:
- name: data
emptyDir: {}
- name: config
configMap:
name: test-redis-config
items:
- key: redis-config
path: redis.conf
2、批量执行该文件
[root@k8s-master configmap-redis]# kubectl apply -k .
configmap/test-redis-config-hfbhg9b679 created
pod/redis created
[root@k8s-master ~]# kubectl describe cm/test-redis-config-hfbhg9b679
Name: test-redis-config-hfbhg9b679
Namespace: default
Labels: <none>
Annotations: <none>
Data
====
redis-config:
----
maxmemory 2mb
maxmemory-policy allkeys-lru
Events: <none>
3、查看相关的配置
[root@k8s-master ~]# kubectl exec -it redis redis-cli
kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl exec [POD] -- [COMMAND] instead.
127.0.0.1:6379> CONFIG GET maxmemory
1) "maxmemory"
2) "2097152"
127.0.0.1:6379> CONFIG GET maxmemory-policy
1) "maxmemory-policy"
2) "allkeys-lru"
127.0.0.1:6379> exit
[root@k8s-master ~]# kubectl exec -it redis /bin/bash
kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl exec [POD] -- [COMMAND] instead.
root@redis:/data# cat /redis-master/redis.conf
maxmemory 2mb
maxmemory-policy allkeys-lru
二、Secret
2.1、简介
Secret 解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者 Pod Spec 中。Secret 可以以 Volume 或者环境变量的方式使用。
Secret 有三种类型：
• Service Account ：用来访问 Kubernetes API，由 Kubernetes 自动创建，并且会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中；
• Opaque ：base64 编码格式的 Secret，用来存储密码、密钥等；
• kubernetes.io/dockerconfigjson ：用来存储私有 docker registry 的认证信息。
2.2、Secret类型
2.2.1、Opaque类型
Opaque类型的数据是一个map类型，要求value是base64编码格式，如果您使用的密码具有特殊字符，则需要使用 \\ 字符对其进行转义。
文件创建
SQL
[root@k8s-master secret]# echo -n 'admin' > ./username.txt
[root@k8s-master secret]# echo -n '1f2d1e2e67df' > ./password.txt
[root@k8s-master secret]# kubectl create secret generic db-user-pass --from-file=username.txt --from-file=password.txt
secret/db-user-pass created
[root@k8s-master secret]# kubectl create secret generic db-user-pass --from-file=username.txt --from-file=password.txt -o yaml --dry-run
W0509 16:44:01.992251 9057 helpers.go:557] --dry-run is deprecated and can be replaced with --dry-run=client.
apiVersion: v1
data:
password.txt: MWYyZDFlMmU2N2Rm
username.txt: YWRtaW4=
kind: Secret
metadata:
creationTimestamp: null
name: db-user-pass
默认情况下，kubectl get 和 kubectl describe 是不会显示密码的内容。 这是为了防止机密被意外地暴露给旁观者或存储在终端日志中。
手工创建
Makefile
[root@k8s-master secret]# echo -n 'admin'|base64
YWRtaW4=
[root@k8s-master secret]# echo -n '1f2d1e2e3e567f'|base64
MWYyZDFlMmUzZTU2N2Y=
[root@k8s-master secret]# cat sg-secret.yaml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
data:
username: YWRtaW4=
password: MWYyZDFlMmUzZTU2N2Y=
[root@k8s-master secret]# kubectl apply -f sg-secret.yaml
secret/mysecret created
#####加密整个配置文件
[root@k8s-master secret]# cat stringData.yml
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
stringData:
config.yaml: |-
apiUrl: "https://my.api.com/api/v1"
username: admin
password: 1f2d1e2e67df
root@k8s-master secret]# kubectl get secret
NAME TYPE DATA AGE
db-user-pass Opaque 2 59m
default-token-kmq6s kubernetes.io/service-account-token 3 45d
mysecret Opaque 1 58s
[root@k8s-master secret]# kubectl get secrets mysecret -o yaml
apiVersion: v1
data:
config.yaml: YXBpVXJsOiAiaHR0cHM6Ly9teS5hcGkuY29tL2FwaS92MSIKdXNlcm5hbWU6IGFkbWluCnBhc3N3b3JkOiAxZjJkMWUyZTY3ZGY=
kind: Secret
metadata:
annotations:
kubectl.kubernetes.io/last-applied-configuration: |
{"apiVersion":"v1","kind":"Secret","metadata":{"annotations":{},"name":"mysecret","namespace":"default"},"stringData":{"config.yaml":"apiUrl: \"https://my.api.com/api/v1\"\nusername: admin\npassword: 1f2d1e2e67df"},"type":"Opaque"}
creationTimestamp: "2022-05-09T09:41:51Z"
name: mysecret
namespace: default
resourceVersion: "11466379"
uid: 6f69ec7c-3b0e-40f3-86bd-aea262c3483e
type: Opaque
2.2.2、 kubernetes.io/dockerconfigjson
可以直接用 kubectl 命令来创建用于 docker registry 认证的 secret：
CoffeeScript
[root@k8s-master secret]# kubectl create secret docker-registry myregistrykey --docker-server=DOCKER_REGISTRY_SERVER --docker-username=DOCKER_USER --docker-password=DOCKER_PASSWORD --docker-email=DOCKER_EMAIL
secret/myregistrykey created
[root@k8s-master secret]# kubectl get secret/myregistrykey -owide
NAME TYPE DATA AGE
myregistrykey kubernetes.io/dockerconfigjson 1 28s
[root@k8s-master secret]# kubectl describe secret/myregistrykey
Name: myregistrykey
Namespace: default
Labels: <none>
Annotations: <none>
Type: kubernetes.io/dockerconfigjson
Data
====
.dockerconfigjson: 161 bytes
2.2.3、Service Account
用于被serviceaccount引用。serviceaccout创建时Kubernetes会默认创建对应的secret。Pod如果使用了serviceaccount，对应的secret会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中。
Secret 是一种包含少量敏感信息例如密码、token 或 key 的对象。这样的信息可能会被放在 Pod spec 中或者镜像中；将其放在一个 secret 对象中可以更好地控制它的用途，并降低意外暴露的风险。
Service Account 用来访问 Kubernetes API，由 Kubernetes 自动创建，并且会自动挂载到 Pod 的 /run/secrets/kubernetes.io/serviceaccount 目录中。
SQL
[root@k8s-master secret]# kubectl run nginx --image nginx
pod/nginx created
[root@k8s-master secret]# kubectl exec nginx ls /run/secrets/kubernetes.io/serviceaccount
kubectl exec [POD] [COMMAND] is DEPRECATED and will be removed in a future version. Use kubectl exec [POD] -- [COMMAND] instead.
ca.crt
namespace
token
2.3、使用方法
Secret 可以作为数据卷被挂载，或作为环境变量暴露出来以供 pod 中的容器使用。它们也可以被系统的其他部分使用，而不直接暴露在 pod 内。例如，它们可以保存凭据，系统的其他部分应该用它来代表您与外部系统进行交互。
volume挂载法
YAML
[root@k8s-master secret]# cat pod-volume-secrets.yaml
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh","-c","cat /etc/config/keys;sleep 600" ]
volumeMounts:
- name: config-volume
mountPath: /etc/config
volumes:
- name: config-volume
secret:
secretName: mysecret
restartPolicy: Never
[root@k8s-master secret]# kubectl apply -f pod-volume-secrets.yaml
pod/dapi-test-pod created
[root@k8s-master secret]# kubectl exec -it dapi-test-pod -- cat /etc/config/config.yaml
apiUrl: "https://my.api.com/api/v1"
username: admin
password: 1f2d1e2e67df
将单独的key指定到目录下
YAML
[root@master Secret]# cat pod-volume-secrets2.yaml
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh","-c","cat /etc/config/keys;sleep 600" ]
volumeMounts:
- name: config-volume
mountPath: /etc/config
volumes:
- name: config-volume
secret:
secretName: db-user-pass
items:
- key: username.txt
path: my-group/my-username
restartPolicy: Never
[root@master Secret]# kubectl apply -f pod-volume-secrets2.yaml
pod/dapi-test-pod created
[root@master Secret]# kubectl exec -it dapi-test-pod -- cat /etc/config/my-group/my-username
admin[root@master Secret]#
环境变量引用
YAML
[root@k8s-master secret]# cat pod-env-secrets.yaml
apiVersion: v1
kind: Pod
metadata:
name: dapi-test-pod3
spec:
containers:
- name: test-container
image: busybox
command: [ "/bin/sh","-c","env;echo ${SECRET_USERNAME} ${SECRET_PASSWORD}" ]
env:
- name: SECRET_USERNAME
valueFrom:
secretKeyRef:
name: db-user-pass
key: username.txt
- name: SECRET_PASSWORD
valueFrom:
secretKeyRef:
name: db-user-pass
key: password.txt
restartPolicy: Never
[root@k8s-master secret]# kubectl apply -f pod-env-secrets.yaml
pod/dapi-test-pod3 created
[root@k8s-master secret]# kubectl logs dapi-test-pod3 |egrep "admin|SECRET"
SECRET_PASSWORD=1f2d1e2e67df
SECRET_USERNAME=admin
admin 1f2d1e2e67df
Secrets其用法是跟ConfigMap基本上是一致，区别不同是ConfigMap是明文，而Secrets是经过base64加密过的。