备战CKA每日一题——第9天 | secret类型、创建、Pod使用以及ServiceAccount关联Secret，网络隔离考题引出

旧城等待， 2023-06-17 06:59 85阅读 0赞

> 本活动在微信公众号【我的小碗汤】上举行，有送书活动！这里参与答题不能参与到送书活动哦！

## 昨日考题 ##

> 创建Secret名为cka1127-secret，内含有password字段，值为cka1127，然后在名为cka1127-01的Pod1里使用ENV进行调用，名为cka1127-02的Pod2里使用Volume挂载在/data 下；  
> **注意：提交评论：包含命令和yaml，以及注意点。可分多次评论。**

## 昨日答案 ##

**创建secret方式一**  
cka1127-secret.yaml可以是以下这样：

apiVersion: v1
    kind: Secret
    metadata:
      name: cka1127-secret
    type: Opaque
    stringData:
      cka1127-password: cka1127

创建

[root@liabio test]# kubectl apply -f cka-1127-secret.yaml 
    secret/cka1127-secret created

**创建secret方式二**

kubectl create secret generic cka1127-secret --from-literal=password=cka1127

**名为cka1127-01的Pod yaml**

apiVersion: v1
    kind: Pod
    metadata:
      name: cka1127-01
    spec:
      containers:
      - name: nginx
        image: nginx
        volumeMounts:
        - name: pwd
          mountPath: /data/password
          readOnly: true
      volumes:
      - name: pwd
        secret:
          secretName: cka1127-secret

**名为cka1127-02的Pod yaml**

apiVersion: v1
    kind: Pod
    metadata:
      name: cka1127-02
    spec:
      containers:
      - image: nginx
        name: nginx
        env:
        - name: PASSWORD
          valueFrom:
            secretKeyRef:
              name: cka1127-secret
              key: password

volume形式验证，保证/data/password/下有password文件，文件内容为明文cka1127

[root@liabio ~]# kubectl exec -ti cka1127-01 sh
    # 
    # ls -l /data/password
    total 0
    lrwxrwxrwx 1 root root 15 Nov 28 00:40 password -> ..data/password
    # cat /data/password/password
    cka1127# 
    #

环境变量形式验证，保证env能查到name为PASSWORD的环境变量；

[root@liabio test]# kubectl exec -ti cka1127-02 bash
    root@cka1127-02:/# 
    root@cka1127-02:/# echo $PASSWORD
    cka1127
    root@cka1127-02:/#

## 昨日解析 ##

**secret官方文档：**  
https://kubernetes.io/docs/concepts/configuration/secret/

### secret简介 ###

Kubernetes中的Secret资源可以用来存储密码、Token、秘钥等敏感数据， 将这些敏感信息保存在Secret中，相对于暴露到Pod、镜像中更加的安全和灵活。

你可能会觉得，secret一般不会用到，实际上在创建Pod时，Kubernetes会自动创建包含用于访问API的凭据的`secret`（由`kube-controller-manager`的`service account token controller`控制），并且它会自动修改Pod以使用这种类型的secret（这个由Admission Controller来控制）。

k8s每个namespace都会有一个Service Account，当我们创建namespace时，service account controller会监听namespace的创建，会在该namespace中创建一个名为default的Service Account，同时service account token controller会监听Service Account的创建，创建对应的secret，并将这个secret绑定到Service Account。

[root@liabio test]# kubectl create ns cka
    namespace/cka created
    [root@liabio test]# 
    [root@liabio test]# kubectl get sa -n cka
    NAME      SECRETS   AGE
    default   1         11s
    [root@liabio test]# kubectl get secrets -n cka
    NAME                  TYPE                                  DATA   AGE
    default-token-r77xn   kubernetes.io/service-account-token   3      18s
    [root@liabio test]#

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9saWFiaW8uYmxvZy5jc2RuLm5ldA_size_16_color_FFFFFF_t_70]  
当我们创建Pod时，如果未指定Service Account，则默认会在同一命令空间namespace中自动为其分配Service Account。则可以看到该spec.serviceAccountName字段已被自动设置。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9saWFiaW8uYmxvZy5jc2RuLm5ldA_size_16_color_FFFFFF_t_70 1]

您可以使用自动添加的Service Account凭据从Pod内部访问API，Service Account的API权限取决于所使用的授权插件和策略。

有关Service Account如何工作的更多信息，请参见文档：  
https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/

### Secret的类型 ###

–type指定创建的秘密类型，Kubernetes内置了三种类型的Secret

##### kubernetes.io/service-account-token Secret #####

上面我们已经讲到，为了能从Pod内部访问Kubernetes API，Kubernetes提供了Service Account资源。 Service Account会自动创建和挂载访问Kubernetes API的Secret，会挂载到Pod的 /var/run/secrets/kubernetes.io/serviceaccount目录中。 namespace创建时自动创建的Service Account用到的Secret就是这种类型的。  
![在这里插入图片描述][20191128222808503.png]

##### Opaque Secret #####

Opaque类型的Secret是一个map结构(key-value)，其中vlaue要求以base64格式编码，以下示例中基本都为Opaque类型的Secret。

##### kubernetes.io/dockerconfigjson Secret #####

kubernetes.io/dockercfg类型的Secret用于存放私有Docker Registry的认证信息。 当Kubernetes在创建Pod并且需要从私有Docker Registry pull镜像时，需要使用认证信息，就会用到kubernetes.io/dockercfg类型的Secret。

kubectl create secret docker-registry cka-regsecret \
    --docker-server=coderaction \
    --docker-username=admin \
    --docker-password=123456 \
    --docker-email=837448191@qq.com

![在这里插入图片描述][20191128223723952.png]  
在创建Pod时需要在Pod的spec中按如下形式使用：

apiVersion: v1
    kind: Pod
    metadata:
      name: cka-private-reg
    spec:
      containers:
        - name: cka-private-reg-container
          image: nginx
      imagePullSecrets:
        - name: cka-regsecret

**可以参考官方文档：**  
https://kubernetes.io/docs/concepts/containers/images/\#specifying-imagepullsecrets-on-a-pod

**给分区默认的ServiceAccount添加imagePullSecrets，以至于创建的所有Pod可以自动添加spec.imagePullSecrets，详情参考官方文档：**  
https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/\#add-imagepullsecrets-to-a-service-account

### secret创建 ###

#### kubectl创建secret ####

**kubectl创建seccret官方文档：**  
https://kubernetes.io/docs/reference/generated/kubectl/kubectl-commands\#-em-secret-em-

**格式：**

kubectl create secret generic NAME [--type=string] [--from-file=[key=]source] [--from-literal=key1=value1] [--dry-run]

–from-literal：指定要插入的键和文字值（即mykey = somevalue），value为明文值，创建后会被base64编码；  
–from-file：可以使用密钥文件的文件路径指定密钥文件，在这种情况下，将为它们指定默认名称；或者可以选择使用指定目录，这样将迭代该目录中的每个有效文件密钥。  
–type：创建的秘密类型，上面已经介绍过三种类型；  
–dry-run：如果为true，则仅打印将要向APIServer发送创建的对象，而不发送它。默认false；

#### 使用–from-file创建 ####

[root@liabio cka]# echo -n 'admin' > ./username
    [root@liabio cka]# echo -n 'test123' > ./password
    [root@liabio cka]# echo -n 'shanghai' > ./city
    [root@liabio cka]# ll
    total 12
    -rw-r--r-- 1 root root 9 Nov 28 20:44 city
    -rw-r--r-- 1 root root 8 Nov 28 20:43 password
    -rw-r--r-- 1 root root 6 Nov 28 20:43 username
    [root@liabio cka]# kubectl create secret generic test-cka1127-01 --from-file=./username --from-file=./password
    secret/test-cka1127-01 created
    [root@liabio cka]# kubectl create secret generic test-cka1127-02 --from-file=./
    secret/test-cka1127-02 created
    [root@liabio cka]#

以指定目录创建的secret，查看到目录下所有文件都被加到data下：

kubectl get secrets test-cka1127-02 -oyaml

apiVersion: v1
    data:
      city: c2hhbmdoYWkK
      password: dGVzdDEyMwo=
      username: YWRtaW4K
    kind: Secret
    metadata:
      creationTimestamp: "2019-11-28T12:44:57Z"
      name: test-cka1127-02
      namespace: default
      resourceVersion: "14636360"
      selfLink: /api/v1/namespaces/default/secrets/test-cka1127-02
      uid: 4a3a1a5d-09e6-4bf9-bbe3-3300db1ddf7a
    type: Opaque

指定username和password创建的secret：

kubectl get secrets test-cka1127-01 -oyaml

apiVersion: v1
    data:
      password: dGVzdDEyMwo=
      username: YWRtaW4K
    kind: Secret
    metadata:
      creationTimestamp: "2019-11-28T12:44:47Z"
      name: test-cka1127-01
      namespace: default
      resourceVersion: "14636347"
      selfLink: /api/v1/namespaces/default/secrets/test-cka1127-01
      uid: 766516a2-34be-4a18-b4e2-83751a6cd2b7
    type: Opaque

默认情况下，kubectl describe 命令能避免显示文件的内容。这可以防止将 secret 中的内容暴露给从终端日志记录中刻意寻找它们的人。

> 特殊字符，例如$，\\，\*，和!需要逃逸。在大多数常见的shell中，最简单的转义密码方法是用单引号（’）引起来。例如，如果您的实际密码是S!B\*d$zDsb，则应以这种方式执行命令：
> 
> kubectl create secret generic dev-db-secret  
> –from-literal=username=devuser --from-literal=password=‘S!B\*d$zDsb’ 您无需从文件（–from-file）中转义密码中的特殊字符。

#### 手动创建秘密 ####

还可以先在文件中以json或yaml格式创建一个Secret，然后创建该对象。该secret包含两种：`data`和是`stringData`是。data字段用于存储使用base64编码的任意数据。提供stringData字段是为了方便起见，它允许提供未编码的字符串。

例如，要使用data将两个字符串存储在Secret中，请按如下所示将它们转换为base64：

echo -n 'admin' | base64
    YWRtaW4=
    echo -n '1f2d1e2e67df' | base64
    MWYyZDFlMmU2N2Rm

**注意：在转base64编码时，一定记得加-n参数，否则可能会遇到坑。**

然后创建以下yaml，最终`kubectl apply`

apiVersion: v1
    kind: Secret
    metadata:
      name: mysecret
    type: Opaque
    data:
      username: YWRtaW4=
      password: MWYyZDFlMmU2N2Rm

如果用以下yaml创建，注意到用了stringData，user的值为coderaction明文。

apiVersion: v1
    kind: Secret
    metadata:
      name: cka1127-secret-02
    type: Opaque
    stringData:
      user: coderaction

执行`kubectl apply`后查看：

apiVersion: v1
    data:
      user: Y29kZXJhY3Rpb24=
    kind: Secret
    metadata:
      name: cka1127-secret-02
    type: Opaque

Y29kZXJhY3Rpb24=解码为coderaction

[root@liabio cka]# echo Y29kZXJhY3Rpb24= | base64 -d
    coderaction

data和stringData的键必须由字母数字字符“-”，“ \_”或“。”组成。

> 编码注意：secret数据的序列化JSON和YAML值被编码为base64字符串。换行符在这些字符串中无效，因此必须省略。base64在Darwin/macOS上使用该实用程序时，用户应避免使用该-b选项来分隔长行。相反，如果选项不可用，Linux用户应将选项添加-w 0到base64命令或管道中。base64 | tr -d ‘\\n’-w

#### 从生成器创建秘密 ####

从1.14开始，Kubectl支持使用[Kustomize][]管理对象。使用此新功能，您还可以从生成器创建一个Secret，然后将其应用于在Apiserver上创建对象。

### 使用Secret ###

#### 将secret所有内容挂载为Pod里的文件 ####

apiVersion: v1
    kind: Pod
    metadata:
      name: mypod
    spec:
      containers:
      - name: mypod
        image: redis
        volumeMounts:
        - name: foo
          mountPath: "/etc/foo"
          readOnly: true
      volumes:
      - name: foo
        secret:
          secretName: mysecret

这样Pod中的/etc/foo目录下会生成mysecret中的所有映射文件。

#### 将密钥投影到特定路径 ####

我们还可以控制secret映射到卷中的路径。您可以使用.spec.volumes\[\].secret.items更改每个键的目标路径：

这样Pod中username存储在/etc/foo/my-group/my-username文件而非/etc/foo/username；而且没有password的映射文件。

#### secret文件权限 ####

apiVersion: v1
    kind: Pod
    metadata:
      name: mypod
    spec:
      containers:
      - name: mypod
        image: nginx
        volumeMounts:
        - name: foo
          mountPath: "/etc/foo"
      volumes:
      - name: foo
        secret:
          secretName: cka1127-secret
          defaultMode: 256

然后，Secret将被挂载到/etc/foo并且由Secret卷挂载创建的所有文件权限为0400；

请注意，JSON规范不支持八进制表示法，因此对于0400权限，请使用值256。如果您使用yaml而不是json描述Pod，则可以使用八进制表示法以更自然的方式指定权限。

也可以像前面的示例一样使用映射，并为不同的文件指定不同的权限，如下所示：

apiVersion: v1
    kind: Pod
    metadata:
      name: mypod-1
    spec:
      containers:
      - name: mypod
        image: nginx
        volumeMounts:
        - name: foo
          mountPath: "/etc/foo"
      volumes:
      - name: foo
        secret:
          secretName: cka1127-secret-02
          items:
          - key: user
            path: my-group/my-username
            mode: 511

mode值511为十进制，在这种情况下，生成的文件的/etc/foo/my-group/my-username许可权值为八进制0777。由于JSON的限制，您必须以十进制表示法指定mode。

**请注意，如果稍后阅读此权限值，则可能会以十进制表示法显示。**

#### 环境变量 ####

Pod中通过环境变量引用Secret和题目答案一样，不做累述；

> 以上事例来自于官方文档。方便大家学习。

## 今日考题 ##

> 部署三个deployment应用(A,B,C),允许A访问B应用,但是不允许C访问B应用。
> 
>  *  Deployment的名称为cka-1128-01，cka-1128-02，cka-1128-03
>  *  Network Policy的名称为cka-1128-np  
>     **注意：将所用命令、创建的deployment以及network policy完整yaml、以及证明A可以访问B应用；C不允许访问B应用。可分多次评论。**

## 作者简介 ##

> 作者：小碗汤，一位热爱、认真写作的小伙，目前维护原创公众号：『我的小碗汤』，专注于写linux、golang、docker、kubernetes等知识等提升硬实力的文章，期待你的关注。转载说明：务必注明来源（注明：来源于公众号：我的小碗汤， 作者：小碗汤）

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9saWFiaW8uYmxvZy5jc2RuLm5ldA_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191128180517933.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9saWFiaW8uYmxvZy5jc2RuLm5ldA==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9saWFiaW8uYmxvZy5jc2RuLm5ldA_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191128180727594.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9saWFiaW8uYmxvZy5jc2RuLm5ldA==,size_16,color_FFFFFF,t_70
[20191128222808503.png]: https://img-blog.csdnimg.cn/20191128222808503.png
[20191128223723952.png]: https://img-blog.csdnimg.cn/20191128223723952.png
[Kustomize]: https://kubernetes.io/docs/tasks/manage-kubernetes-objects/kustomization/