Kubernetes 보안 비밀 리소스 템플릿화하기

때로는 차트 자체에서 쿠버네티스 시크릿 객체를 생성해야 합니다. 주의해서 작성하면 값이 유출되지 않도록 템플릿화할 수 있습니다.

쿠버네티스 시크릿은 데이터 섹션이 있는 매니페스트일 뿐입니다. data 아래의 각 값은 Base64로 인코딩된 텍스트여야 합니다.

data 아래에서는 각 값을 인코딩합니다. Sprig 도우미 함수 b64enc는 평문 문자열을 쿠버네티스가 요구하는 Base64 형식으로 변환합니다.

직접 b64enc를 사용하지 않으려면 stringData를 사용하는 편이 좋습니다. 쿠버네티스가 서버 측에서 해당 값을 대신 인코딩합니다.

매니페스트에 렌더링된 값은 단지 인코딩된 값일 뿐이라는 점을 기억하십시오. 그 값을 읽을 수 있는 사람은 누구나 즉시 디코딩할 수 있습니다.

흔한 유출 방식은 값을 NOTES.txt에 그대로 출력하는 것입니다. 대신 값을 가져오는 방법을 출력하여 평문이 명령 출력에 남지 않게 하십시오.

더 나은 방법은 사용자가 별도로 만든 existingSecret을 가리키게 하는 것입니다. 그러면 차트는 값을 전혀 전달받지 않습니다.

시크릿이 정말 필요하다면 required 함수가 값이 없을 때 명확한 메시지와 함께 렌더링을 중지합니다.

파드가 값을 컨테이너 환경 변수에 직접 넣는 대신 secretKeyRef나 마운트된 볼륨을 통해 시크릿을 읽게 하십시오.

시크릿이 변경될 때 파드를 다시 실행하려면 배포에 체크섬 주석을 추가하십시오. 새 값이 변경을 일으켜 재시작됩니다.

가장 안전한 차트는 여러 방법을 조합합니다. 기존 시크릿이나 외부 시크릿을 우선 사용하고, 필요할 때만 인코딩하며, 값을 절대 그대로 출력하지 않습니다.

쿠버네티스가 Base64 인코딩을 대신 수행하게 하려면 어떻게 해야 합니까?

시크릿을 안전하게 템플릿화하는 방법을 배웠습니다. b64enc 또는 stringData로 인코딩하고, 기존 시크릿을 우선 사용하며, 값을 절대 출력하지 마십시오. 🎉