当前位置： 首页 > web >正文

管理配置信息和敏感信息

web 2025/5/5 12:01:26

管理配置信息和敏感信息

文章目录

  • 管理配置信息和敏感信息
    • @[toc]
    • 一、什么是ConfigMap和Secret
    • 二、使用ConfigMap为Tomcat提供配置文件
    • 三、使用Secret为MongDB提供配置文件

一、什么是ConfigMap和Secret

在 Kubernetes 中，ConfigMap 和 Secret 是两种用于管理配置数据的核心资源对象，但分别针对非敏感和敏感数据，以下是两者的核心概念与区别：

  1. ConfigMap：非敏感配置管理
  • 定义与用途
    ConfigMap 用于存储非敏感配置数据（如环境变量、配置文件、命令行参数），实现应用配置与容器镜像的解耦。通过 ConfigMap，用户可以动态调整配置而无需重建镜像或重启容器。
  • 数据形式与创建方式
    • 键值对或文件内容：支持纯文本、多行配置或直接挂载文件到容器内。
    • 创建方式：
      • 命令行：kubectl create configmap 从文件、目录或字面量生成。
      • YAML 文件：定义键值对或配置文件内容。
  • 动态更新
    • 卷挂载：ConfigMap 更新后，挂载的卷会自动同步到容器内（延迟约 1 分钟）。
    • 环境变量：需重启 Pod 生效。
  • 使用场景
    • 多环境配置切换（如开发、生产环境的数据库地址）。
    • 共享日志级别、功能开关等非敏感配置。
  1. Secret：敏感数据管理
  • 定义与用途
    Secret 专用于存储敏感信息（如密码、API 密钥、TLS 证书），通过 Base64 编码存储，避免明文暴露在镜像或 Pod 定义中。
  • 数据类型与安全
    • 类型：
      • generic：通用敏感数据（如密码）。
      • tls：存储 TLS 证书和私钥。
      • docker-registry：容器仓库认证信息。
    • 安全性：Base64 编码非加密，需结合 RBAC 和加密存储增强安全。
  • 使用方式
    • 卷挂载：以文件形式挂载到容器内（如 /run/secrets 目录）。
    • 环境变量：注入敏感参数（需谨慎，因环境变量可能被日志记录）。
  • 更新与限制
    • 更新 Secret 后，挂载为卷的数据会同步更新，但环境变量需重启 Pod。
    • 大小限制：与 ConfigMap 类似，单个 Secret 不超过 1 MiB。
  1. 核心区别与选择建议
特性ConfigMapSecret
数据类型非敏感明文数据敏感数据（Base64 编码）
典型用途环境变量、配置文件密码、令牌、证书
安全机制无加密，依赖权限控制Base64 编码，需额外加密策略
动态更新卷挂载自动同步同 ConfigMap
命名空间仅限同一命名空间内使用同 ConfigMap
  • 选择建议：
    • ConfigMap：适用于功能开关、端口号等无需保密的数据。
    • Secret：必须用于密码、密钥等敏感信息，并启用加密存储（如 Kubernetes 的加密 Secret 功能）。

  1. 最佳实践

  2. 分离敏感与非敏感数据：使用 ConfigMap 和 Secret 分别管理，避免混用。

  3. 限制访问权限：通过 RBAC 控制 ConfigMap 和 Secret 的读写权限。

  4. 优先动态供应：结合 StorageClass 或 Helm 实现自动化配置管理。

  5. 监控与更新：定期检查 Released 状态的资源，防止数据泄漏或配置过期。

通过合理使用 ConfigMap 和 Secret，Kubernetes 实现了配置的灵活管理与安全性平衡，为云原生应用提供了可靠的配置解决方案。

二、使用ConfigMap为Tomcat提供配置文件

ConfigMap常用来为应用程序提供配置文件，下面以为Tomcat服务器提供配置文件为例进行测试。

（1）编写Tomcat配置文件

[root@master ~]# cat tomcat-users.xml 
<?xml version='1.0' encoding='utf-8'?>
<tomcat-users xmlns="http://tomcat.apache.org/xml"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://tomcat.apache.org/xml tomcat-users.xsd"version="1.0">
<role rolename="admin-gui"/>
<role rolename="manager-gui"/>
<user username="admin" password="tomcat" roles="admin-gui,manager-gui"/>
</tomcat-users>

该文件启用admin-gui和manager-gui角色，并设置相应的用户名和密码

（2）执行以下命令基于tomcat-users.xml文件创建一个名为tomcat-users-config的ConfigMap

[root@master ~]# kubectl create configmap tomcat-users-config --from-file=tomcat-users.xml
configmap/tomcat-users-config created

（3）查看该ConfigMap的信息，获知其存储数据中tomcat-users.xml文件名为键名，tomcat-users.xml文件内容为键值

[root@master ~]# kubectl get configmap/tomcat-users-config -o yaml
apiVersion: v1
data:tomcat-users.xml: |+<?xml version='1.0' encoding='utf-8'?><tomcat-users xmlns="http://tomcat.apache.org/xml"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://tomcat.apache.org/xml tomcat-users.xsd"version="1.0"><role rolename="admin-gui"/><role rolename="manager-gui"/><user username="admin" password="tomcat" roles="admin-gui,manager-gui"/></tomcat-users>kind: ConfigMap
metadata:creationTimestamp: "2025-05-04T09:00:03Z"name: tomcat-users-confignamespace: defaultresourceVersion: "80876"uid: f59531b1-d227-46cc-9d0c-36687da34368

（4）编写部署tomcat的Deployment和Service配置文件

[root@master ~]# cat tomcat-deploy-service.yaml 
apiVersion: apps/v1                # 版本号
kind: Deployment                    # 类型为Deployment
metadata:                            # 元数据name: tomcat-deploy
spec:replicas: 2selector:                         # 选择器，指定该控制器管理哪些PodmatchLabels:app: tomcat-podtemplate:metadata:labels:app: tomcat-podspec:containers:- name: tomcatimage: tomcat:8.0-alpine          # 容器所用的镜像ports:- containerPort: 8080           # 容器需要暴露的端口volumeMounts:- name: tomcat-users-config          # 要挂载的卷的名称# 容器挂载的目录路径为/usr/local/tomcat/conf，文件名为tomcat-users.xmlmountPath: /usr/local/tomcat/conf/tomcat-users.xmlsubPath: tomcat-users.xml         # 要挂载的ConfigMap中的键名volumes:- name: tomcat-users-config        # 定义卷名configMap:name: tomcat-users-config          # ConfigMap对象---
apiVersion: v1
kind: Service
metadata:name: tomcat-svc      #设置service的显示名字
spec:selector:app: tomcat-pod           # 指定pod的标签ports:- port: 8080              #让集群知道service绑定的端口targetPort: 8080           #目标Pod的端口[root@master ~]#

（5）执行创建

[root@master ~]# kubectl apply -f tomcat-deploy-service.yaml 
deployment.apps/tomcat-deploy created
service/tomcat-svc created

（6）查看创建的Service，获取集群IP地址和服务发布端口

[root@master ~]# kubectl get svc tomcat-svc
NAME         TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
tomcat-svc   ClusterIP   10.102.133.116   <none>        8080/TCP   41s

（7）测试，可以在控制平面节点上图形化界面打开浏览器，访问此网址，进入Tomcat初始界面，单击Manager App按钮弹出对话框，输入设置的用户名和密码进入管理界面，此效果只做了命令行验证

[root@master ~]# curl 10.102.133.116:8080<!DOCTYPE html>
<html lang="en"><head><meta charset="UTF-8" /><title>Apache Tomcat/8.0.53</title><link href="favicon.ico" rel="icon" type="image/x-icon" /><link href="favicon.ico" rel="shortcut icon" t......

（8）删除本例所创建对象

[root@master ~]# kubectl get configmap
NAME                  DATA   AGE
kube-root-ca.crt      1      42d
tomcat-users-config   1      13m
[root@master ~]# kubectl delete configmap tomcat-users-config
configmap "tomcat-users-config" deleted
[root@master ~]# kubectl delete -f tomcat-deploy-service.yaml 
deployment.apps "tomcat-deploy" deleted
service "tomcat-svc" deleted
[root@master ~]#

三、使用Secret为MongDB提供配置文件

Secret非常适合提供密码、令牌等数据量较小的加密信息，下面以为MongDB提供初始化的root用户账户和密码为例进行示范。

（1）对要提供的账户和密码进行Base64编码

[root@master ~]# echo -n 'root' | base64
cm9vdA==
[root@master ~]# echo -n 'mongopass' | base64
bW9uZ29wYXNz

（2）编写Secret配置文件

[root@master ~]# cat mongo-secret.yaml 
apiVersion: v1
kind: Secret                                    # 资源类型
metadata:name: mongo-secret                            # Secret名称
type: Opaque                                    # Secret类型
data:                                            # 提供base64编码的数据username: cm9vdA==password: bW9uZ29wYXNz

（3）执行创建

[root@master ~]# kubectl apply -f mongo-secret.yaml 
secret/mongo-secret created

（4）查看创建的Secret

[root@master ~]# kubectl get secret mongo-secret -o yaml
apiVersion: v1
data:password: bW9uZ29wYXNzusername: cm9vdA==
kind: Secret
metadata:annotations:kubectl.kubernetes.io/last-applied-configuration: |{"apiVersion":"v1","data":{"password":"bW9uZ29wYXNz","username":"cm9vdA=="},"kind":"Secret","metadata":{"annotations":{},"name":"mongo-secret","namespace":"default"},"type":"Opaque"}creationTimestamp: "2025-05-04T09:15:38Z"name: mongo-secretnamespace: defaultresourceVersion: "82479"uid: 642df5ae-89b5-4d69-80a6-6b2f4648cfb5
type: Opaque
[root@master ~]#

（5）编写部署MongDB的Deployment配置文件

MongDB是数据库，实际应用中一般使用StatefulSet控制器运行有状态应用程序，这里仅做测试，为简化操作，使用Deployment控制器部署

[root@master ~]# cat mongo-deploy.yaml 
apiVersion: apps/v1
kind: Deployment
metadata:name: mongodb
spec:replicas: 1selector:matchLabels:app: mongodbtemplate:metadata:labels:app: mongodbspec:containers:- name: mongoimage: mongo:4.4imagePullPolicy: IfNotPresentenv:                                     # 定义环境变量- name: MONGO_INITDB_ROOT_USERNAME # 环境变量名称valueFrom: secretKeyRef:                    # 使用Secret提供数据name: mongo-secret            # Secret对象 key: username                   # Secret中的键- name: MONGO_INITDB_ROOT_PASSWORDvalueFrom:secretKeyRef:name: mongo-secretkey: password

这里通过Secret为MongDB提供初始化的root用户账户和密码

（6）执行创建

[root@master ~]# kubectl apply -f mongo-deploy.yaml 
deployment.apps/mongodb created

（7）查看pod，获取名称

[root@master ~]# kubectl get pod
NAME                      READY   STATUS    RESTARTS   AGE
mongodb-8bbc9cf9d-p76j7   1/1     Running   0          2m51s

（8）进入Pod的容器进行测试

[root@master ~]# kubectl exec -it mongodb-8bbc9cf9d-p76j7 -- /bin/sh
# mongo -u root -p mongopass
MongoDB shell version v4.4.29
connecting to: mongodb://127.0.0.1:27017/?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("75620f94-c1b3-4147-abbe-48e059315d6a") }
MongoDB server version: 4.4.29
Welcome to the MongoDB shell.
For interactive help, type "help".
For more comprehensive documentation, seehttps://docs.mongodb.com/
Questions? Try the MongoDB Developer Community Forumshttps://community.mongodb.com
---
The server generated these startup warnings when booting: 2025-05-04T09:21:03.155+00:00: /sys/kernel/mm/transparent_hugepage/enabled is 'always'. We suggest setting it to 'never'
---
> exit
bye
# exit

结果表明，Secret提供的用户名和密码在MongoDB中生效了。

（9）删除创建的Secret和Deployment，清理实验环境

[root@master ~]# kubectl delete -f mongo-secret.yaml 
secret "mongo-secret" deleted
[root@master ~]# kubectl delete -f mongo-deploy.yaml 
deployment.apps "mongodb" deleted
http://www.xdnf.cn/news/3907.html

相关文章：

  • 前端开发，文件在镜像服务器上不存在问题：Downloading binary from...Cannot download...
  • 在JSP写入Text文件方法指南
  • 【IP101】边缘检测技术全解析：从Sobel到Canny的进阶之路
  • 2023年第十四届蓝桥杯省赛B组Java题解【 简洁易懂】
  • Spark，Idea中编写Spark程序 2
  • 题解：AT_abc245_e [ABC245E] Wrapping Chocolate
  • Go语言中的无锁数据结构与并发效率优化
  • Circular Plot系列(三)：【视频教程】复现NCS图表之高大上的单细胞UMAP环形图
  • process terminated with status -1073741515
  • 永久免费的Google Colab 入门指南
  • C语言——寻找子串
  • 动态规划--回文串问题
  • 【深度学习-Day 5】Python 快速入门：深度学习的“瑞士军刀”实战指南
  • Vue常用优化
  • d3_v7绘制折线图
  • 启发式算法-遗传算法
  • C++ - 类和对象 #类的默认成员函数 #构造函数 #析构函数 #拷贝构造函数 #运算符重载函数 #赋值运算符重载函数
  • AI 入门：关键概念
  • 高等数学同步测试卷 同济7版 试卷部分 上 做题记录 第四章 不定积分同步测试卷 B卷
  • n8n 快速入门1：构建一个简单的工作流
  • 强化学习机器人模拟器——GridWorld：一个用于强化学习的 Python 环境
  • unorder_map/set的底层实现---C++
  • ESP32S3 多固件烧录方法、合并多个固件为单一固件方法
  • LangChain4J-XiaozhiAI 项目分析报告
  • 线程间通信--线程间顺序控制
  • C++类_局部类
  • 安装与配置Go语言开发环境 -《Go语言实战指南》
  • C#与西门子PLC通信：S7NetPlus和HslCommunication使用指南
  • JavaWeb：SpringBootWeb快速入门
  • 五、shell脚本--函数与脚本结构：搭积木，让脚本更有条理