kubernetes资源对象Secret

著作：行癫 <盗版必究> ------ ## 一：Secret ​ Secret用来保存小片敏感数据的k8s资源，例如密码，token，或者秘钥。这类数据当然也可以存放在Pod或者镜像中，但是放在Secret中是为了更方便的控制如何使用数据，并减少暴露的风险；用户可以创建自己的secret，系统也会有自己的secret。Pod需要先引用才能使用某个secret #### 1.Pod使用secret的方式 ​ 作为volume的一个域被一个或多个容器挂载 ​ 在拉取镜像的时候被kubelet引用 #### 2.內建的Secrets ​ 由ServiceAccount创建的API证书附加的秘钥,k8s自动生成的用来访问apiserver的Secret，所有Pod会默认使用这个Secret与apiserver通信 #### 3.创建自己的Secret ​ 方式1：使用kubectl create secret命令 ​ 方式2：yaml文件创建Secret 命令方式创建secret： ​ 假如某个Pod要访问数据库，需要用户名密码，分别存放在2个文件中：username.txt，password.txt ```shell [root@master ~]# echo -n 'admin' > ./username.txt [root@master ~]# echo -n '1f2d1e2e67df' > ./password.txt ``` ​ kubectl create secret指令将用户名密码写到secret中，并在apiserver创建Secret ```shell [root@master ~]# kubectl create secret generic db-user-pass --from-file=./username.txt --from-file=./password.txt secret "db-user-pass" created ``` ​ 查看创建结果 ```shell [root@master ~]# kubectl get secrets NAME TYPE DATA AGE db-user-pass Opaque 2 51s [root@master ~]# kubectl describe secret/db-user-pass Name: db-user-pass Namespace: default Labels: Annotations: Type: Opaque Data ==== password.txt: 12 bytes username.txt: 5 bytes ``` ​ get或describe指令都不会展示secret的实际内容，这是出于对数据的保护的考虑，如果想查看实际内容使用命令 ```shell [root@master ~]# kubectl get secret db-user-pass -o json ``` yaml方式创建Secret： ​ 创建一个secret.yaml文件，内容用base64编码 ```shell [root@master ~]# echo -n 'admin' | base64 YWRtaW4= [root@master ~]# echo -n '1f2d1e2e67df' | base64 MWYyZDFlMmU2N2Rm ``` ​ yaml文件内容 ```shell apiVersion: v1 kind: Secret metadata: name: mysecret type: Opaque data: username: YWRtaW4= password: MWYyZDFlMmU2N2Rm ``` ​ 创建 ```shell [root@master ~]# kubectl create -f ./secret.yaml secret "mysecret" created ``` ​ 解析Secret中内容 ```shell [root@master ~]# kubectl get secret mysecret -o yaml apiVersion: v1 data: username: YWRtaW4= password: MWYyZDFlMmU2N2Rm kind: Secret metadata: creationTimestamp: 2016-01-22T18:41:56Z name: mysecret namespace: default resourceVersion: "164619" selfLink: /api/v1/namespaces/default/secrets/mysecret uid: cfee02d6-c137-11e5-8d73-42010af00002 type: Opaque ``` ​ base64解码 ```shell [root@master ~]# echo 'MWYyZDFlMmU2N2Rm' | base64 --decode 1f2d1e2e67df ``` #### 4.使用Secret ​ secret可以作为数据卷挂载或者作为环境变量暴露给Pod中的容器使用，也可以被系统中的其他资源使用。比如可以用secret导入与外部系统交互需要的证书文件等 #### 5.在Pod中以文件的形式使用secret ​ 创建一个Secret，多个Pod可以引用同一个Secret ​ 修改Pod的定义，在spec.volumes[]加一个volume，给这个volume起个名字，spec.volumes[].secret.secretName记录的是要引用的Secret名字，在每个需要使用Secret的容器中添加一项spec.containers[].volumeMounts[]，指定spec.containers[].volumeMounts[].readOnly = true，spec.containers[].volumeMounts[].mountPath要指向一个未被使用的系统路径 ​ 修改镜像或者命令行使系统可以找到上一步指定的路径。此时Secret中data字段的每一个key都是指定路径下面的一个文件名 #### 6.Pod中引用Secret的列子 ```shell apiVersion: v1 kind: Pod metadata: name: mypod spec: containers: - name: mypod image: redis volumeMounts: - name: foo mountPath: "/etc/foo"　　//这里是pod内部的目录 readOnly: true volumes: - name: foo secret: secretName: mysecret ``` pod里面查看： ```shell [root@master ~]# kubectl exec -it mypod /bin/bash root@mypod:/# cd /etc/foo/ root@mypod:/etc/foo# ls password username ``` ​ 每一个被引用的Secret都要在spec.volumes中定义 映射secret key到指定的路径： ​ 可以控制secret key被映射到容器内的路径，利用spec.volumes[].secret.items来修改被映射的具体路径 ```shell apiVersion: v1 kind: Pod metadata: name: mypod spec: containers: - name: mypod image: redis volumeMounts: - name: foo mountPath: "/etc/foo" readOnly: true volumes: - name: foo secret: secretName: mysecret items: - key: username path: my-group/my-username ``` ​ username被映射到了文件/etc/foo/my-group/my-username而不是/etc/foo/username ​ password没有变 从volume中读取secret的值： ​ 值得注意的一点是，以文件的形式挂载到容器中的secret，他们的值已经是经过base64解码的了，可以直接读出来使用 ```shell [root@master ~]# ls /etc/foo/ username password [root@master ~]# cat /etc/foo/username admin [root@master ~]# cat /etc/foo/password 1f2d1e2e67df ``` 被挂载的secret内容自动更新： ​ 也就是如果修改一个Secret的内容，那么挂载了该Secret的容器中也将会取到更新后的值 #### 7.环境变量的形式使用Secret ​ 创建一个Secret，多个Pod可以引用同一个Secret ​ 修改pod的定义，定义环境变量并使用env[].valueFrom.secretKeyRef指定secret和相应的key ​ 修改镜像或命令行，让它们可以读到环境变量 ```shell apiVersion: v1 kind: Pod metadata: name: secret-env-pod spec: containers: - name: mycontainer image: redis env: - name: SECRET_USERNAME valueFrom: secretKeyRef: name: mysecret key: username - name: SECRET_PASSWORD valueFrom: secretKeyRef: name: mysecret key: password restartPolicy: Never ``` ​ 容器中读取环境变量，已经是base64解码后的值了： ```shell [root@master ~]# echo $SECRET_USERNAME admin [root@master ~]# echo $SECRET_PASSWORD 1f2d1e2e67df ``` #### 8.案例 ​ Pod中的ssh keys,创建一个包含ssh keys的secret ```shell [root@master ~]# kubectl create secret generic ssh-key-secret --from-file=ssh-privatekey=/path/to/.ssh/id_rsa --from-file=ssh-publickey=/path/to/.ssh/id_rsa.pub ``` ​ 创建一个Pod，其中的容器可以用volume的形式使用ssh keys ```shell kind: Pod apiVersion: v1 metadata: name: secret-test-pod labels: name: secret-test spec: volumes: - name: secret-volume secret: secretName: ssh-key-secret containers: - name: ssh-test-container image: daocloud.io/library/nginx volumeMounts: - name: secret-volume readOnly: true mountPath: "/etc/secret-volume" ``` #### 9.k8s集群连接harbor私有仓库 使用命令创建一个secret ​ --docker-server 是私有仓库地址 ​ --docker-username 是私有仓库用户名 ​ --docker-password 是私有仓库对用用户名的密码 ```shell [root@master ~]# kubectl create secret docker-registry regcred --docker-server=10.11.67.119 --docker-username=diange --docker-password=QianFeng@123 ``` 创建pod的yaml文件 ```shell [root@master ~]# cat nginx.yaml apiVersion: v1 kind: Pod metadata: name: xingdian labels: app: xingdian spec: containers: - name: diandian image: 10.11.67.119/xingdian/nginx@sha256:2963fc49cc50883ba9af25f977a9997ff9af06b45c12d968b7985dc1e9254e4b ports: - containerPort: 80 imagePullSecrets: - name: regcred ``` 创建pod ```shell [root@master ~]# kubectl create -f nginx.yaml ``` 查看pod ```shell [root@master ~]# kubectl get pods NAME READY STATUS RESTARTS AGE xingdian 1/1 Running 0 10m ``` 注意： ​ 保证docker可以使用http连接下载，默认是https ```shell 修改docker启动文件 [root@master ~]# vim /etc/systemd/system/multi-user.target.wants/docker.service ExecStart=/usr/bin/dockerd -H fd:// --insecure-registry 10.0.1.13 --containerd=/run/containerd/containerd.sock [root@master ~]# systemctl daemon-reload [root@master ~]# systemctl restart docker ```