【Kubernetes】Kubernetes之配置资源管理

墨蓝 2024-03-23 23:47 55阅读 0赞

#### Secret 和 ConfigMap ####

*  一、Secret
 *   *  1. Secret 的作用
     *  2. Secret 的类型
     *  3. Secret 使用方式及应用场景
     *  4. Secret 的实例
     *   *  4.1 创建 Secret
         *  4.2 使用方式
         *   *  将 Secret 挂载到 Volume 中，以 Volume 的形式挂载到 Pod 的某个目录下
             *  将 Secret 导出到环境变量中
 *  二、 ConfigMap
 *   *  1. ConfigMap 的概念
     *  2. ConfigMap 的实例
     *   *  2.1 创建 ConfigMap
         *   *  使用目录创建
             *  使用文件创建
             *  使用字面值创建
         *  2.2 Pod 中使用 ConfigMap
         *   *  使用 ConfigMap 来替代环境变量
             *  用 ConfigMap 设置命令行参数
             *  通过数据卷插件使用 ConﬁgMap
 *  总结
 *   *  1. Secret
     *  2. ConfigMap
     *  3. 陈述式管理资源

--------------------

## 一、Secret ##

### 1. Secret 的作用 ###

Secret 是用来保存密码、token、密钥等敏感数据的 k8s 资源，这类数据虽然也可以存放在 Pod 或者镜像中，但是放在 Secret 中是为了更方便的控制如何使用数据，并减少暴露的风险。

### 2. Secret 的类型 ###

Secret 有四种类型：

*  **`kubernetes.io/service-account-token`** ：由 Kubernetes 自动创建，用来访问 APIServer 的 Secret，Pod 会默认使用这个 Secret 与 APIServer 通信， 并且会自动挂载到 Pod 的 `/run/secrets/kubernetes.io/serviceaccount` 目录中;
 *  **`Opaque`** ：base64 编码格式的 Secret，用来存储用户自定义的密码、密钥等，默认的 Secret 类型;
 *  **`kubernetes.io/dockerconfigjson`** ：用来存储私有 docker registry 的认证信息。
 *  \*\*`kubernetes.io/tls` \*\* ：用来存储 TLS 证书和私钥信息。

### 3. Secret 使用方式及应用场景 ###

Pod 需要先引用才能使用某个 secret，Pod 有 3 种方式来使用 secret：

*  作为挂载到一个或多个容器上的卷 中的文件。
 *  作为容器的环境变量。
 *  由 kubelet 在为 Pod 拉取镜像时使用。

应用场景：凭据

[https://kubernetes.io/docs/concepts/configuration/secret/][https_kubernetes.io_docs_concepts_configuration_secret]

### 4. Secret 的实例 ###

#### 4.1 创建 Secret ####

**用kubectl create secret命令创建Secret**

echo -n 'zhangsan' > username.txt
    echo -n 'abc1234' > password.txt
    
    kubectl create secret generic mysecret --from-file=username.txt --from-file=password.txt
    
    kubectl get secrets
    NAME                  TYPE                                  DATA   AGE
    default-token-8pqp6   kubernetes.io/service-account-token   3      3d1h
    mysecret              Opaque                                2      51s
    
    kubectl describe secret mysecret
    Name:         mysecret
    Namespace:    default
    Labels:       <none>
    Annotations:  <none>
    
    Type:  Opaque
    
    Data
    ====
    password.txt:  7 bytes
    username.txt:  8 bytes
    #get或describe指令都不会展示secret的实际内容，这是出于对数据的保护的考虑

![在这里插入图片描述][646c84228e684363afc7daaba9bf41a0.png_pic_center]

**内容用 base64 编码，创建Secret**

echo -n zhangsan | base64
    emhhbmdzYW4K=
    
    echo -n abc1234 | base64
    YWJjMTIzNAo==
    
    kubectl create secret generic mysecret1 --from-literal=myname=lisi
    
    kubectl get secrets
    NAME                  TYPE                                  DATA   AGE
    default-token-8pqp6   kubernetes.io/service-account-token   3      3d1h
    mysecret              Opaque                                2      43m
    mysecret1             Opaque                                2      6s
    
    kubectl get secret mysecret1 -o yaml
    apiVersion: v1
    data:
      myname: bGlzaQ==
    kind: Secret
    metadata:
      creationTimestamp: "2023-08-16T10:48:04Z"
      managedFields:
      - apiVersion: v1
        fieldsType: FieldsV1
        fieldsV1:
          f:data:
            .: {}
            f:myname: {}
          f:type: {}
        manager: kubectl-create
        operation: Update
        time: "2023-08-16T10:48:04Z"
      name: mysecret1
      namespace: default
      resourceVersion: "89269"
      selfLink: /api/v1/namespaces/default/secrets/mysecret1
      uid: b2e4dbe7-8fa9-4667-87c1-50c713889a4b
    type: Opaque

![在这里插入图片描述][e4a0f5a15d9c40d69a1bd1831ce4b3a8.png_pic_center]

#### 4.2 使用方式 ####

##### 将 Secret 挂载到 Volume 中，以 Volume 的形式挂载到 Pod 的某个目录下 #####

vim secret-test.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: mypod
    spec:
      containers:
      - name: nginx
        image: nginx
        volumeMounts:
        - name: secrets
          mountPath: "/etc/secrets"
          readOnly: true
      volumes:
      - name: secrets
        secret:
          secretName: mysecret
    
    kubectl create -f secret-test.yaml
    
    kubectl get pods
    NAME         READY   STATUS    RESTARTS   AGE
    seret-test   1/1     Running   0          16s

![在这里插入图片描述][90c7f9a340bd4effa02f4108e102afc6.png_pic_center]

kubectl exec -it mypod bash
     # cd /etc/secrets/
     # ls
    password.txt  username.txt
     # vi password.txt 
     # vi username.txt

![在这里插入图片描述][3bac5eda298c4bb4a6dfb75b5ea6b630.png_pic_center]

##### 将 Secret 导出到环境变量中 #####

vim secret-test1.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: mypod1
    spec:
      containers:
      - name: nginx
        image: nginx
        env:
          - name: TEST_USER
            valueFrom:
              secretKeyRef:
                name: mysecret
                key: username.txt
          - name: TEST_PASSWORD
            valueFrom:
              secretKeyRef:
                name: mysecret
                key: password.txt
        envFrom:
        - secretRef:
            name: mysecret1

![在这里插入图片描述][fb5afa955b7a4ff7ade51e3bf05fcc3a.png_pic_center]

kubectl apply -f secret-test1.yaml 
    
    kubectl get pods
    NAME         READY   STATUS    RESTARTS   AGE
    mypod1       1/1     Running   0          77s
    
    kubectl exec -it mypod1 bash
     # echo $TEST_USER
    zhangsan
     # echo $TEST_PASSWORD
    abc1234

![在这里插入图片描述][7ce1646825784accab9879f955f7206e.png_pic_center]

## 二、 ConfigMap ##

### 1. ConfigMap 的概念 ###

与Secret类似，区别在于ConfigMap保存的是不需要加密配置的信息。

ConfigMap 功能在 Kubernetes1.2 版本中引入，许多应用程序会从配置文件、命令行参数或环境变量中读取配置信息。ConfigMap API 给我们提供了向容器中注入配置信息的机制，ConfigMap 可以被用来保存单个属性，也可以用来保存整个配置文件或者JSON二进制大对象。

应用场景：应用配置

### 2. ConfigMap 的实例 ###

#### 2.1 创建 ConfigMap ####

##### 使用目录创建 #####

mkdir /opt/configmap/
     
    vim /opt/configmap/game.config
    enemy.types=aliens,monsters
    player.maximum-lives=5 
     
    vim /opt/configmap/ui.config
    color.good=purple
    color.bad=yellow
    allow.textmode=true
    
    ls /opt/configmap/
    game.config
    ui.config
    
    kubectl create configmap game-config --from-file=/opt/configmap/
    #--from-file 指定在目录下的所有文件都会被用在 ConﬁgMap 里面创建一个键值对，键的名字就是文件名，值就是文件的内容

![在这里插入图片描述][6cfa3dac400a45d9a6d64970cf583220.png_pic_center]

kubectl get cm
    NAME          DATA   AGE
    game-config   2      10s
    
    kubectl get cm game-config -o yaml
    apiVersion: v1
    data:
      game.config: "enemy.types=aliens,monsters\nplayer.maximum-lives=5 \n"
      ui.config: |
        color.good=purple
        color.bad=yellow
        allow.textmode=true
    kind: ConfigMap
    metadata:
      creationTimestamp: "2023-08-16T09:22:58Z"
      managedFields:
      - apiVersion: v1
        fieldsType: FieldsV1
        fieldsV1:
          f:data:
            .: {}
            f:game.config: {}
            f:ui.config: {}
        manager: kubectl-create
        operation: Update
        time: "2023-08-16T09:22:58Z"
      name: game-config
      namespace: default
      resourceVersion: "79138"
      selfLink: /api/v1/namespaces/default/configmaps/game-config
      uid: 8d3fdb20-eac2-4a97-b855-1bf179560d28

![在这里插入图片描述][447408b3aa7c4a4f95ee675e9aa405e3.png_pic_center]

##### 使用文件创建 #####

只要指定为一个文件就可以从单个文件中创建 `ConﬁgMap --from-file` 这个参数可以使用多次，即可以使用两次分别指定上个实例中的那两个配置文件，效果就跟指定整个目录是一样的

kubectl create configmap game-config-2 --from-file=/opt/configmap/game.config --from-file=/opt/configmap/ui.config
    
    kubectl get configmaps game-config-2 -o yaml
    
    kubectl describe cm game-config-2

![在这里插入图片描述][90850fa33b7d428abce594e1236b802a.png_pic_center]

##### 使用字面值创建 #####

#使用文字值创建，利用 --from-literal 参数传递配置信息，该参数可以使用多次，格式如下
    kubectl create configmap special-config --from-literal=special.how=very --from-literal=special.type=good
    
    kubectl get configmaps special-config -o yaml
    apiVersion: v1
    data:
      special.how: very					#key-value 结构
      special.type: good
    kind: ConfigMap
    metadata:
      creationTimestamp: "2023-08-16T09:36:00Z"
      managedFields:
      - apiVersion: v1
        fieldsType: FieldsV1
        fieldsV1:
          f:data:
            .: {}
            f:special.how: {}
            f:special.type: {}
        manager: kubectl-create
        operation: Update
        time: "2023-08-16T09:36:00Z"
      name: special-config
      namespace: default
      resourceVersion: "80623"
      selfLink: /api/v1/namespaces/default/configmaps/special-config
      uid: 9104fdb6-ed0e-4ba5-b6e8-d5abf48ed4fb
    
    kubectl delete cm --all
    kubectl delete pod --all

![在这里插入图片描述][1d4c76eb726f462794192d690a96da4f.png_pic_center]

#### 2.2 Pod 中使用 ConfigMap ####

##### 使用 ConfigMap 来替代环境变量 #####

vim env.yaml
    apiVersion: v1
    kind: ConfigMap
    metadata:
      name: special-config
      namespace: default
    data:
      special.how: very
      special.type: good
    ---
    apiVersion: v1
    kind: ConfigMap
    metadata:
      name: env-config
      namespace: default
    data:
      log_level: INFO
      
    kubectl create -f env.yaml 
    
    kubectl get cm
    NAME               DATA   AGE
    env-config         1      7s
    kube-root-ca.crt   1      2m45s
    special-config     2      7s

![在这里插入图片描述][271f46dd6e8442d985d12ab01f27376b.png_pic_center]

**Pod的创建**

vim test-pod.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: test-pod
    spec:
      containers:
      - name: busybox
        image: busybox:1.28.4
        command: [ "/bin/sh", "-c", "env" ]
        env:
          - name: SPECIAL_HOW_KEY
            valueFrom:
              configMapKeyRef:
                name: special-config
                key: special.how
          - name: SPECIAL_TYPE_KEY
            valueFrom:
              configMapKeyRef:
                name: special-config
                key: special.type
        envFrom:
          - configMapRef:
              name: env-config
      restartPolicy: Never
    
    
    kubectl create -f test-pod.yaml

![在这里插入图片描述][176d767f3322469e8c5edea735e9d733.png_pic_center]

kubectl get pods
    NAME         READY   STATUS      RESTARTS   AGE
    test-pod    0/1     Completed   0          33s
    
    kubectl logs test-pod
    KUBERNETES_SERVICE_PORT=443
    KUBERNETES_PORT=tcp://10.96.0.1:443
    HOSTNAME=test-pod
    SHLVL=1
    SPECIAL_HOW_KEY=very			#赋值变量 SPECIAL_HOW_KEY 的值为 special-config 的 special.how: very
    HOME=/root
    SPECIAL_TYPE_KEY=good			#赋值变量 SPECIAL_TYPE_KEY 的值为 special-config 的 special.type: good
    KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
    PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    KUBERNETES_PORT_443_TCP_PORT=443
    KUBERNETES_PORT_443_TCP_PROTO=tcp
    log_level=INFO					#引入 env-config 的变量 log_level: INFO
    KUBERNETES_SERVICE_PORT_HTTPS=443
    KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
    KUBERNETES_SERVICE_HOST=10.96.0.1
    PWD=/

![在这里插入图片描述][4d970828503343fd936577461f2ac385.png_pic_center]

##### 用 ConfigMap 设置命令行参数 #####

vim test-pod2.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: test-pod2
    spec:
      containers:
      - name: busybox
        image: busybox:1.28.4
        command: 
    	- /bin/sh
    	- -c
    	- echo "$(SPECIAL_HOW_KEY) $(SPECIAL_TYPE_KEY)"
        env:
          - name: SPECIAL_HOW_KEY
            valueFrom:
              configMapKeyRef:
                name: special-config
                key: special.how
          - name: SPECIAL_TYPE_KEY
            valueFrom:
              configMapKeyRef:
                name: special-config
                key: special.type
        envFrom:
          - configMapRef:
              name: env-config
      restartPolicy: Never

![在这里插入图片描述][9d3a9a6c8cfa4d31b17cd3f48e2b0431.png_pic_center]

kubectl create -f test-pod2.yaml
    
    kubectl get pods
    NAME        READY   STATUS      RESTARTS   AGE
    test-pod2   0/1     Completed   0          34s
    
    kubectl logs test-pod2
    very good

![在这里插入图片描述][7ea391914f984b05823bad1cfe6fc587.png_pic_center]

##### 通过数据卷插件使用 ConﬁgMap #####

在数据卷里面使用 ConﬁgMap，就是将文件填入数据卷，在这个文件中，键就是文件名，键值就是文件内容

vim test-pod3.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: test-pod3
    spec:
      containers:
      - name: busybox
        image: busybox:1.28.4
        command: [ "/bin/sh", "-c", "sleep 36000" ]
        volumeMounts:
        - name: config-volume
          mountPath: /etc/config
      volumes:
        - name: config-volume
          configMap:
            name: special-config
      restartPolicy: Never
    
    
    kubectl create -f test-pod3.yaml 
    
    kubectl get pods
    NAME        READY   STATUS      RESTARTS   AGE
    test-pod3   1/1     Running     0          5s

![在这里插入图片描述][4d93f97f2af14612ab4e91db2d8200cf.png_pic_center]

kubectl exec -it test-pod3 sh
     # cd /etc/config/
     # ls
    special.how   special.type
     # vi special.how 
     # vi special.type

![在这里插入图片描述][91137bfc2e50401a964287764eaa9f09.png_pic_center]

## 总结 ##

### 1. Secret ###

Secret 资源  	用于保存密码文件、tls证书/私钥文件、tocken字符串、镜像私有仓库认证信息等需要加密的敏感信息
    ------------------------------------------------------------------------------
    #Secret 资源的 4种类型：
    Opaque:默认的Secret资源类型，可以通过选项引用文件、目录、键值对的方式创建Secret资源，并且资源数据的键值会自动转换成base64编码格式。
    kubernetes.io/tls：用来存储 TLS 证书和私钥信息。
    kubernetes.io/dockerconfigjson ：用来存储K8S从harbor等镜像私有仓库拉取镜像时做认证的信息。
    kubernetes.io/service-account-token：当serviceaccount账户资源后K8S会自动创建相关的Secret资源，当Pod访问apiserver时需要使用此Secret资源做认证。
    ------------------------------------------------------------------------------
    #创建 Secret 资源
    kubectl create secret generic <资源名称> --from-file=文件|目录 --from-literal=<键名>=<键值>
    kubectl create secret tls <资源名称> --cert=证书文件路径 --key=私有文件路径
    kubectl create secret docker-registry <资源名称> --docker-server=私有仓库URL地址 --docker-username=用户名 --docker-spassword=密码 --docker-email=邮箱
    ------------------------------------------------------------------------------
    #使用 Secret 资源
    挂载的方式
    在 Pod 资源配置中的 spec.volumes 字段设置 secret 类型的存储卷
    在容器配置种用 volumeMounts 将卷挂载到容器的挂载点目录上，Secret资源数据的键名会作为文件名，Secret资源数据的键值会作为文件内容
    ------------------------------------------------------------------------------
    #容器环境变量引用的方式:
    在容器配置中用 env.name 字段自定义容器的环境变量名，在 en.valLueFrom.secretflyef.name/key 字段指定自定义的变量的值从哪个 Secret资源 的 键 获取值
    在容器配置中用envFrom.secretRef.name字段指定Secret资源的名称，使得Secret资源的 键 和 值 作为容器的环境变量名和环境变量的值

### 2. ConfigMap ###

ConfigMap 资源 简称 cm ，用于保存配置文件、环境变量、命令行参数之类的不需要的加密的信息
    #创建 cm 资源
    kubectl create cm <资源名称> --from-file=文件|目录  
    kubectl create cm <资源名称> --from-literal=<键名>=<键值>
    ------------------------------------------------------------------------------
    #查看 cm 资源
    kubectl get cm <资源名称> -o yaml 或 kubectl describe cm <资源名称>
    ------------------------------------------------------------------------------
    #使用 cm 资源
    挂载的方式
    在 Pod 资源配置中的 spec.volumes 字段设置 configMap 类型的存储卷
    在容器配置种用 volumeMounts 将卷挂载到容器的挂载点目录上，cm资源数据的键名会作为文件名，cn资源数据的键值会作为文件内容（以目录形式挂载的cm卷支持热更新）
    在容器配置中用 volumeMounts.subPath 指定文件名，实现将卷挂载到容器的文件上（以文件形式挂载的cm卷不支持热更新）
    ------------------------------------------------------------------------------
    #容器环境变量引用的方式：（不支持热更新）
    在容器配置中用 env.name 字段自定义容器的环境变量名，在 env.valueFrom.configMapKeyRef.name/key 字段指定自定义的变量的值从哪个cm资源的 键 获取值
    在容器配置中用 envFrom.configMapRef.name 字段指定 cm 资源的名称，使 cm资源的 键 和 值 作为容器的环境变量名和环境变量的值

### 3. 陈述式管理资源 ###

#称述式管理资源的方式 修改或添加 资源对象的配置
    kubectl patch deployment myapp-demo1 --path ‘{“”}’

[https_kubernetes.io_docs_concepts_configuration_secret]: https://kubernetes.io/docs/concepts/configuration/secret/
[646c84228e684363afc7daaba9bf41a0.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/57bbcf82723940d5860e6fbf2660ab28.png
[e4a0f5a15d9c40d69a1bd1831ce4b3a8.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/bbb1565276004af2b65193b8b30ed475.png
[90c7f9a340bd4effa02f4108e102afc6.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/192321f825cf447fab68073b17d2171b.png
[3bac5eda298c4bb4a6dfb75b5ea6b630.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/cc576917bd81410fb0b540ac0a79d6e3.png
[fb5afa955b7a4ff7ade51e3bf05fcc3a.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/27eedc4955f54a279e9907c68f4a0309.png
[7ce1646825784accab9879f955f7206e.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/02cc3e28f07d4719a3513b08ccd5463e.png
[6cfa3dac400a45d9a6d64970cf583220.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/0f77346e39074d7caef17ac042f5ae21.png
[447408b3aa7c4a4f95ee675e9aa405e3.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/f2218d90aee44f6b8fedc9d13ff4ea6b.png
[90850fa33b7d428abce594e1236b802a.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/f423ca0625c2415b91d6fc56b23da701.png
[1d4c76eb726f462794192d690a96da4f.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/3e56df4cc1144ec9ba4091249a899213.png
[271f46dd6e8442d985d12ab01f27376b.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/01bf4a849720490e9efd2fc6b7024a77.png
[176d767f3322469e8c5edea735e9d733.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/b89ab086b6984f858af718f023b5478e.png
[4d970828503343fd936577461f2ac385.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/a04f8751c0a04efe84d7f460eb74af9b.png
[9d3a9a6c8cfa4d31b17cd3f48e2b0431.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/4e17a28921134a199e066a6f78d5b8fa.png
[7ea391914f984b05823bad1cfe6fc587.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/1b50d9a71925402e971db0f308962c7c.png
[4d93f97f2af14612ab4e91db2d8200cf.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/98357f8385164b8dac37556b754cb103.png
[91137bfc2e50401a964287764eaa9f09.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/13/58f294ba677a400bb9ea145dc451cdc4.png