2.4. 使用 secret 为 pod 提供敏感数据

流程

1. 在 YAML 文件中创建 Secret 对象。

   例如：

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque 1
   data:
     username: <username>
     password: <password>

   1

   指定不透明 secret。

2. 使用以下命令来创建 Secret 对象：

   $ oc create -f <filename>.yaml

3. 在 pod 中使用该 secret:

   1. 更新 pod 的服务帐户以引用 secret，如 "Understanding how to create secrets" 部分所示。
   2. 创建以环境变量或文件（使用 secret 卷）形式消耗 secret 的 pod，如"创建 secret"部分所示。

流程

1. 在 YAML 文件中创建 Secret 对象：

   Secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-sa-sample
     annotations:
       kubernetes.io/service-account.name: "sa-name" 1
   type: kubernetes.io/service-account-token 2

   1

   指定一个现有服务帐户名称。如果您要同时创建 ServiceAccount 和 Secret 对象，请首先创建 ServiceAccount 对象。

   2

   指定服务帐户令牌 secret。

2. 使用以下命令来创建 Secret 对象：

   $ oc create -f <filename>.yaml

3. 在 pod 中使用该 secret:

   1. 更新 pod 的服务帐户以引用 secret，如 "Understanding how to create secrets" 部分所示。
   2. 创建以环境变量或文件（使用 secret 卷）形式消耗 secret 的 pod，如"创建 secret"部分所示。

流程

1. 在 YAML 文件中创建 Secret 对象：

   secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-basic-auth
   type: kubernetes.io/basic-auth 1
   data:
   stringData: 2
     username: admin
     password: <password>

   1

   指定基本身份验证 secret。

   2

   指定要使用的基本身份验证值。

2. 使用以下命令来创建 Secret 对象：

   $ oc create -f <filename>.yaml

3. 在 pod 中使用该 secret:

   1. 更新 pod 的服务帐户以引用 secret，如 "Understanding how to create secrets" 部分所示。
   2. 创建以环境变量或文件（使用 secret 卷）形式消耗 secret 的 pod，如"创建 secret"部分所示。

流程

1. 在控制平面节点上的 YAML 文件中创建 Secret 对象：

   secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-ssh-auth
   type: kubernetes.io/ssh-auth 1
   data:
     ssh-privatekey: | 2
             MIIEpQIBAAKCAQEAulqb/Y ...

   1

   指定 SSH 身份验证 secret。

   2

   指定 SSH 密钥/值对，作为要使用的 SSH 凭据。

2. 使用以下命令来创建 Secret 对象：

   $ oc create -f <filename>.yaml

3. 在 pod 中使用该 secret:

   1. 更新 pod 的服务帐户以引用 secret，如 "Understanding how to create secrets" 部分所示。
   2. 创建以环境变量或文件（使用 secret 卷）形式消耗 secret 的 pod，如"创建 secret"部分所示。

流程

1. 在 YAML 文件中创建 Secret 对象。

   Docker 配置 secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-cfg
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfig:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   指定该 secret 使用 Docker 配置文件。

   2

   base64 编码的 Docker 配置文件

   Docker 配置 JSON secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-json
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfigjson:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   指定该 secret 使用 Docker 配置 JSONfile。

   2

   base64 编码的 Docker 配置 JSON 文件

2. 使用以下命令来创建 Secret 对象

   $ oc create -f <filename>.yaml

3. 在 pod 中使用该 secret:

   1. 更新 pod 的服务帐户以引用 secret，如 "Understanding how to create secrets" 部分所示。
   2. 创建以环境变量或文件（使用 secret 卷）形式消耗 secret 的 pod，如"创建 secret"部分所示。

流程

1. 导航到 Workloads Secrets。

2. 点 Create From YAML。

   1. 手动编辑您的规格的 YAML，或者将文件拖放到 YAML 编辑器。例如：

      apiVersion: v1
      kind: Secret
      metadata:
        name: example
        namespace: <namespace>
      type: Opaque 1
      data:
        username: <base64 encoded username>
        password: <base64 encoded password>
      stringData: 2
        hostname: myapp.mydomain.com

      1

      本例指定了一个 opaque secret，但您可以看到其他 secret 类型，如服务帐户令牌 secret、基本身份验证 secret、SSH 身份验证 secret 或使用 Docker 配置的 secret。

      2

      stringData 映射中的条目将转换为 base64，然后该条目将自动移动到 data 映射中。此字段是只写的；其值仅通过 data 字段返回。

3. 点 Create。

4. 点 Add Secret to workload。

   1. 从下拉菜单中选择要添加的工作负载。
   2. 点击 Save。

1. 编辑服务的 Pod spec。

2. 使用您要用于 secret 的名称，添加 service.beta.openshift.io/serving-cert-secret-name 注解。

   kind: Service
   apiVersion: v1
   metadata:
     name: my-service
     annotations:
         service.beta.openshift.io/serving-cert-secret-name: my-cert 1
   spec:
     selector:
       app: MyApp
     ports:
     - protocol: TCP
       port: 80
       targetPort: 9376

   证书和密钥采用 PEM 格式，分别存储在 tls.crt 和 tls.key 中。

3. 创建服务：

   $ oc create -f <file-name>.yaml

4. 查看 secret 以确保已成功创建：

   1. 查看所有 secret 列表：

      $ oc get secrets

      输出示例

      NAME                     TYPE                                  DATA      AGE
      my-cert                  kubernetes.io/tls                     2         9m

   2. 查看您的 secret 详情：

      $ oc describe secret my-cert

      输出示例

      Name:         my-cert
      Namespace:    openshift-console
      Labels:       <none>
      Annotations:  service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
                    service.beta.openshift.io/originating-service-name: my-service
                    service.beta.openshift.io/originating-service-uid: 640f0ec3-afc2-4380-bf31-a8c784846a11
                    service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
      
      Type:  kubernetes.io/tls
      
      Data
      ====
      tls.key:  1679 bytes
      tls.crt:  2595 bytes

5. 编辑与该 secret 搭配的 Pod spec。

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-service-pod
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault
     containers:
     - name: mypod
       image: redis
       volumeMounts:
       - name: my-container
         mountPath: "/etc/my-path"
       securityContext:
         allowPrivilegeEscalation: false
         capabilities:
           drop: [ALL]
     volumes:
     - name: my-volume
       secret:
         secretName: my-cert
         items:
         - key: username
           path: my-group/my-username
           mode: 511

   当它可用时，您的 Pod 就可运行。该证书对内部服务 DNS 名称 <service.name>.<service.namespace>.svc 有效。

   证书/密钥对在接近到期时自动替换。在 secret 的 service.beta.openshift.io/expiry 注解中查看过期日期，其格式为 RFC3339。

   注意

   在大多数情形中，服务 DNS 名称 <service.name>.<service.namespace>.svc 不可从外部路由。<service.name>.<service.namespace>.svc 的主要用途是集群内或服务内通信，也用于重新加密路由。