Kem Intensif DevOps · Pelajaran

Rahsia untuk Data Sensitif

Simpan dan urus maklumat sensitif seperti kata laluan dan kunci API dengan selamat menggunakan Rahsia.

Pelajaran 2 daripada 411 langkah

Rahsia untuk Data Sensitif ialah pelajaran Kem Intensif DevOps percuma di CoddyKit. Ini ialah pelajaran 2 daripada 4. Sebanyak 3 pelajaran dalam laluan pembelajaran ini boleh dibaca sepenuhnya secara percuma — selepas itu, CoddyKit PRO membuka akses kepada semua pelajaran, serta latihan praktikal dengan penyunting kod terbina dalam dan tutor kecerdasan buatan yang tersedia 24/7. Pelajaran ini merupakan sebahagian daripada laluan pembelajaran Kem Intensif DevOps, dan kemajuan anda disegerakkan merentas web serta aplikasi CoddyKit. Kursus Kem Intensif DevOps merangkumi sejumlah 4 pelajaran.

Melindungi Maklumat Sensitif

Semasa membina aplikasi, anda sering mengendalikan maklumat sensitif seperti kata laluan pangkalan data, kunci API atau sijil peribadi.

Menyimpan maklumat ini secara terus dalam kod aplikasi atau fail konfigurasi merupakan risiko keselamatan yang besar! Hal ini boleh menyebabkan kebocoran data dan mendedahkan sistem anda.

Memperkenalkan Rahsia Kubernetes

Rahsia Kubernetes ialah objek yang direka untuk menyimpan data sensitif dengan selamat dalam kluster anda.

Rahsia membantu anda mengasingkan maklumat sensitif daripada takrifan Pod dan kod aplikasi, sekali gus menjadikan penggunaan aplikasi lebih selamat serta mudah diurus.

Terasing: Pastikan data sensitif tidak disertakan dalam imej kontena dan YAML Pod.
Boleh dicapai: Pod boleh menggunakannya sebagai pemboleh ubah persekitaran atau fail yang dipasang.

Rahsia berbanding ConfigMaps

Anda mungkin masih ingat ConfigMaps daripada pelajaran sebelumnya, yang digunakan untuk data konfigurasi bukan sensitif.

Rahsia adalah serupa, tetapi dikhususkan untuk data sensitif. Kedua-duanya menyimpan pasangan kunci-nilai, tetapi Rahsia mengendalikan sifat sensitif data tersebut.

ConfigMaps: Untuk konfigurasi umum yang bukan sensitif (contohnya, tahap log dan titik akhir API).
Rahsia: Untuk data sensitif (contohnya, kata laluan, token dan kunci peribadi).

Ingat, Rahsia dikodkan dalam base64, bukannya disulitkan secara lalai!

Mencipta Rahsia daripada Nilai Literal

Cara paling mudah untuk mencipta Rahsia ialah daripada nilai literal menggunakan kubectl create secret generic.

Kaedah ini berguna untuk cebisan data sensitif yang ringkas dan pendek, seperti kata laluan mudah.

kubectl create secret generic my-db-secret \
  --from-literal=username=admin \
  --from-literal=password=SuperSecretP@ssw0rd!

Mencipta Rahsia daripada Fail

Untuk data sensitif yang lebih besar atau terdiri daripada beberapa baris (seperti kunci peribadi atau fail konfigurasi penuh), lebih baik anda mencipta Rahsia daripada fail.

Mula-mula, cipta fail secara setempat, kemudian rujuk fail tersebut. Kubernetes akan membaca kandungan fail dan menyimpannya.

# Create local files first
echo "my-api-key-12345" > api-key.txt
echo "my-token-abcde" > auth-token.txt

# Create the Secret
kubectl create secret generic app-credentials \
  --from-file=api-key.txt \
  --from-file=auth-token.txt

Menggunakan Rahsia sebagai Pemboleh Ubah Persekitaran

Pod boleh menggunakan data Rahsia dengan menyuntikkannya terus ke dalam pemboleh ubah persekitaran. Kaedah ini biasa digunakan untuk pasangan kunci-nilai yang mudah.

Anda boleh merujuk kunci tertentu daripada Rahsia, atau semua kunci menggunakan envFrom.

apiVersion: v1
kind: Pod
metadata:
  name: my-app-pod-env
spec:
  containers:
  - name: my-app
    image: nginx:latest
    env:
    - name: DB_USERNAME
      valueFrom:
        secretKeyRef:
          name: my-db-secret
          key: username
    - name: DB_PASSWORD
      valueFrom:
        secretKeyRef:
          name: my-db-secret
          key: password

Menggunakan Rahsia sebagai Fail yang Dipasang

Untuk fail sensitif seperti sijil dan kunci peribadi, atau apabila aplikasi menjangkakan konfigurasi daripada laluan fail tertentu, anda boleh memasang Rahsia sebagai fail dalam Pod.

Setiap kunci dalam Rahsia akan menjadi fail dalam direktori yang dipasang, dengan nilainya sebagai kandungan fail tersebut.

apiVersion: v1
kind: Pod
metadata:
  name: my-app-pod-vol
spec:
  containers:
  - name: my-app
    image: nginx:latest
    volumeMounts:
    - name: app-secret-volume
      mountPath: "/etc/secrets"
      readOnly: true
  volumes:
  - name: app-secret-volume
    secret:
      secretName: app-credentials

Keselamatan untuk Rahsia Anda

Walaupun Rahsia melindungi data daripada pemeriksaan sepintas lalu, Rahsia bukanlah penyelesaian mutlak. Ingat perkara berikut:

Pengekodan Base64: Rahsia dikodkan dalam base64, bukannya disulitkan. Sesiapa yang mempunyai akses kepada Rahsia boleh menyahkodkannya.
RBAC: Gunakan Kawalan Akses Berasaskan Peranan (RBAC) untuk mengehadkan pihak yang boleh membaca, mencipta atau mengubah suai Rahsia.
Penyulitan Semasa Rehat: Untuk keselamatan sebenar, dayakan penyulitan semasa rehat bagi data etcd anda (storan sokongan Kubernetes). Penyedia awan sering menawarkan ciri ini.

Mengemas Kini Rahsia

Jika data sensitif anda berubah, anda perlu mengemas kini Rahsia tersebut. Menjalankan semula kubectl create secret dengan nilai baharu akan mengemas kininya, atau gunakan kubectl apply -f dengan YAML yang telah dikemas kini.

Walau bagaimanapun, Pod yang sedang berjalan dan menggunakan Rahsia tersebut tidak akan mendapatkan perubahan itu secara automatik. Untuk menerapkan perubahan, anda biasanya perlu memulakan semula atau menggunakan semula Pod yang menggunakan Rahsia tersebut.

Semakan Pantas: Rahsia

Bayangkan anda mempunyai kunci API peribadi yang perlu digunakan oleh aplikasi anda. Apakah kaedah yang paling selamat dan sesuai untuk menyimpan serta menyediakan kunci ini kepada Pod Kubernetes?

Jawab dalam pelajaran interaktif

Imbas Kembali: Rahsia untuk Data Sensitif

Syabas! Anda telah mempelajari cara mengendalikan data sensitif dalam Kubernetes!

Rahsia menyimpan maklumat sensitif seperti kata laluan dan kunci API.
Rahsia dikodkan dalam base64 dan boleh digunakan sebagai pemboleh ubah persekitaran atau fail yang dipasang.
Sentiasa gunakan RBAC dan pertimbangkan penyulitan semasa rehat untuk keselamatan maksimum.
Ingat, Pod perlu dimulakan semula untuk mendapatkan kemas kini Rahsia.

Percuma untuk bermula

Pelajari Kem Intensif DevOps dengan tutor kecerdasan buatan — percuma

Tulis dan jalankan kod sebenar dalam pelayar anda, dapatkan bantuan segera daripada tutor kecerdasan buatan yang tersedia 24/7, dan sambung semula dari tempat anda berhenti di web atau dalam aplikasi.

Kursus: 142
Pelajaran: 568

Mula belajar secara percuma Lihat kursus penuh

Soalan Lazim

Adakah pelajaran “Rahsia untuk Data Sensitif” percuma?

Ya — sebanyak 3 pelajaran dalam laluan pembelajaran Kem Intensif DevOps, termasuk “Rahsia untuk Data Sensitif”, boleh dibaca sepenuhnya secara percuma di web ini. Selepas itu, CoddyKit PRO membuka akses kepada semua pelajaran, serta latihan interaktif dengan penyunting kod terbina dalam dan tutor kecerdasan buatan yang tersedia 24/7. Kursus Kem Intensif DevOps merangkumi sejumlah 4 pelajaran.

Apakah yang akan saya pelajari dalam “Rahsia untuk Data Sensitif”?

Simpan dan urus maklumat sensitif seperti kata laluan dan kunci API dengan selamat menggunakan Rahsia. Anda berlatih Kem Intensif DevOps menggunakan kod praktikal yang dijalankan terus dalam pelayar, manakala tutor kecerdasan buatan 24/7 menjawab soalan anda semasa anda mengikuti pelajaran.

Adakah saya memerlukan pengalaman untuk memulakan Kem Intensif DevOps?

Tiada pengalaman terdahulu diperlukan. Pembelajaran Kem Intensif DevOps di CoddyKit disusun untuk pelajar daripada peringkat pemula hingga lanjutan, jadi anda boleh bermula di sini atau dari awal dan belajar mengikut kadar anda sendiri. Ini ialah pelajaran 2 daripada 4.

Berapa lamakah pelajaran “Rahsia untuk Data Sensitif” diambil?

Kebanyakan pelajaran CoddyKit mengambil masa kira-kira 5–10 minit. Setiap pelajaran ringkas dan interaktif, jadi anda boleh membuat kemajuan secara berterusan dan menyambung tepat dari tempat anda berhenti di web atau aplikasi.

Bolehkah saya menulis dan menjalankan kod dalam pelajaran Kem Intensif DevOps ini?

Ya. Setiap pelajaran Kem Intensif DevOps menyertakan penyunting kod terbina dalam, jadi anda boleh menulis dan menjalankan kod sebenar terus dalam pelayar serta menerima maklum balas kecerdasan buatan serta-merta — tanpa memerlukan persediaan setempat.

Semua pelajaran dalam kursus ini

← Kembali ke Kem Intensif DevOps