DevOps Bootcamp · 课时

ConfigMaps 与密钥

Q: 「ConfigMaps 与密钥」这节课中我会学到什么？

使用 ConfigMaps 和密钥，在 Kubernetes 部署中安全地管理配置数据和敏感信息。 你通过在浏览器中直接运行的动手代码来练习 DevOps Bootcamp，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

使用 ConfigMaps 和密钥，在 Kubernetes 部署中安全地管理配置数据和敏感信息。

ConfigMaps 与密钥 是 CoddyKit 上的免费 DevOps Bootcamp 课时。这是第 3 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 DevOps Bootcamp 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 DevOps Bootcamp 课程共包含 4 节课。

ConfigMaps 与 Secrets 简介

欢迎！本课将学习如何在 Kubernetes 中管理配置数据和敏感信息。我们将探索 ConfigMaps 和 Secrets，这两种工具对于灵活且安全地部署应用至关重要。

为什么要外部化配置？

想象一下，直接将数据库凭据或 API 密钥硬编码到应用的 Docker 镜像中。这会使更新变得困难，并暴露敏感数据。

缺乏灵活性：更改配置需要重新构建镜像。
安全风险：敏感数据会被写入镜像。
环境相关：不同环境（开发环境、生产环境）需要不同的设置。

ConfigMaps：非敏感数据

ConfigMap 是 Kubernetes 中用于以键值对形式存储非敏感配置数据的对象。您可以把它看作集中存放应用设置的地方，例如日志级别或 API 端点。

它将配置与应用代码解耦，使部署更具可移植性，也更易于管理。

定义 ConfigMap

您可以根据字面值、文件或目录创建 ConfigMap。下面是在 YAML 文件中定义的一个简单示例：

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-app-config
data:
  log_level: "INFO"
  api_endpoint: "http://myapi.example.com"

将 ConfigMap 用作环境变量

创建后，Pod 可以将 ConfigMap 数据作为环境变量使用。这是向应用传递设置的常见方式。

下面介绍 Pod 如何使用我们的 my-app-config：

apiVersion: v1
kind: Pod
metadata:
  name: configmap-env-pod
spec:
  containers:
  - name: my-container
    image: busybox
    command: ["sh", "-c", "echo Log Level: $LOG_LEVEL; echo API: $API_ENDPOINT"]
    env:
    - name: LOG_LEVEL
      valueFrom:
        configMapKeyRef:
          name: my-app-config
          key: log_level
    - name: API_ENDPOINT
      valueFrom:
        configMapKeyRef:
          name: my-app-config
          key: api_endpoint
  restartPolicy: Never

将 ConfigMap 挂载为文件

此外，ConfigMap 数据还可以在容器内挂载为文件。每个键值对都会变成一个文件，其中键是文件名，值是文件内容。

当应用需要从特定路径读取配置文件时，这种方式非常有用。

apiVersion: v1
kind: Pod
metadata:
  name: configmap-file-pod
spec:
  containers:
  - name: my-container
    image: busybox
    command: ["sh", "-c", "cat /etc/config/log_level; cat /etc/config/api_endpoint"]
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config
  volumes:
  - name: config-volume
    configMap:
      name: my-app-config
  restartPolicy: Never

Secrets：敏感数据

Secrets 与 ConfigMaps 类似，但专门用于存储密码、API 密钥或 TLS 证书等敏感数据。Kubernetes 可以帮助您安全地管理和分发这些数据。

ConfigMaps 以明文存储数据，而 Secrets 使用 base64 编码。这并不是 NOT 加密，但可以防止意外暴露。

定义 Secret

创建 Secret 时，值必须经过 base64 编码。您可以使用 echo -n 'my-password' | base64 对其进行编码。

下面是一个数据库密码示例：

apiVersion: v1
kind: Secret
metadata:
  name: db-credentials
type: Opaque
data:
  username: YWRtaW4= # base64 of 'admin'
  password: c3VwZXJzZWNyZXRwYXNz # base64 of 'supersecretpass'

在 Pods 中使用 Secrets

Pods 使用 Secrets 的方式与使用 ConfigMaps 大致相同：将其作为环境变量或挂载的文件使用。Kubernetes 会在将数据提供给容器之前自动对其解码。

出于安全考虑，通常更推荐将其作为挂载的文件使用，因为环境变量更容易被记录到日志或检查。

apiVersion: v1
kind: Pod
metadata:
  name: secret-env-pod
spec:
  containers:
  - name: my-app-container
    image: busybox
    command: ["sh", "-c", "echo DB User: $DB_USERNAME; echo DB Pass: $DB_PASSWORD"]
    env:
    - name: DB_USERNAME
      valueFrom:
        secretKeyRef:
          name: db-credentials
          key: username
    - name: DB_PASSWORD
      valueFrom:
        secretKeyRef:
          name: db-credentials
          key: password
  restartPolicy: Never

安全最佳实践

请记住，base64 编码不是加密。若要实现静态数据的真正加密，您可能需要使用 Kubernetes Secrets 后端（例如 Vault），或利用云服务提供商的 KMS 服务。

RBAC：控制哪些人可以访问 Secrets。
最小权限：仅授予 Pods 访问其所需 Secrets 的权限。
挂载文件：优先将 Secrets 挂载为文件，而不是环境变量。

配置快速检查

您需要在 Kubernetes 中为应用存储一个 API 密钥（敏感数据）和一个日志级别设置（非敏感数据）。

分别应该使用哪些 Kubernetes 对象？

回顾：ConfigMaps 与 Secrets

做得很好！您已经学会了如何在 Kubernetes 中管理应用配置和敏感数据。

ConfigMaps：存储非敏感的键值对。
Secrets：存储敏感数据（经过 base64 编码）。
Pods 可以将两者作为环境变量或挂载的文件使用。
处理敏感信息时，请始终遵循安全最佳实践。

接下来，探索 RBAC 和外部 Secret 管理解决方案等高级安全主题。

常见问题解答

「ConfigMaps 与密钥」课时是免费的吗？

是的 — 「ConfigMaps 与密钥」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 DevOps Bootcamp 课程的其余内容，请升级到 CoddyKit PRO。 DevOps Bootcamp 课程共包含 4 节课。

「ConfigMaps 与密钥」这节课中我会学到什么？

使用 ConfigMaps 和密钥，在 Kubernetes 部署中安全地管理配置数据和敏感信息。你通过在浏览器中直接运行的动手代码来练习 DevOps Bootcamp，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 DevOps Bootcamp 需要有经验吗？

无需任何先前经验。CoddyKit 上的 DevOps Bootcamp 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 3 节课，共 4 节。

「ConfigMaps 与密钥」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 DevOps Bootcamp 课中编写并运行代码吗？

能。每节 DevOps Bootcamp 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 DevOps Bootcamp