从外部机密信息运算符获取机密信息
在部署时从保管库获取机密信息
从外部机密信息运算符获取机密信息 是 CoddyKit 上的免费 Helm Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Helm Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Helm Academy 课程共包含 4 节课。
将机密信息放在图表之外
还有一种方法是完全不在图表附近存储机密信息。您可以将其保存在专用的保管库中，并在部署时获取。
唯一可信来源
HashiCorp Vault 或 AWS Secrets Manager 这样的机密存储会成为您的唯一可信来源，与任何图表或代码仓库分离。
外部机密操作器
外部机密操作器通常称为 ESO，它运行在您的集群中，并将外部存储中的值复制到 Kubernetes 机密资源中。
使用 Helm 安装 ESO
很恰当地，您可以从其公共图表使用Helm安装该操作器本身；之后，它会监视那些指示同步内容的资源。
helm install external-secrets external-secrets/external-secrets使用 SecretStore 连接
SecretStore资源会告诉 ESO 保管库的位置以及进行身份验证的方式，使其能够代表您读取机密信息。
kind: SecretStore
spec:
provider:
vault:
server: https://vault.example.com使用 ExternalSecret 请求
ExternalSecret资源会指定您需要哪些远程键，以及 ESO 应根据这些键创建哪个 Kubernetes 机密资源。
kind: ExternalSecret
spec:
target:
name: db-credentialsESO 生成机密资源
该操作器会读取保管库，并生成一个普通的 Kubernetes 机密资源。您的 Pod 可以像使用其他机密资源一样使用它。
您的图表不包含任何机密信息
现在，您的图表只发布ExternalSecret清单，绝不包含凭据。敏感值只存放在保管库中。🔐
自动刷新
ESO 可以按间隔刷新机密资源，因此在保管库中轮换某个值后，无需重新部署就能将更新传播到集群。
spec:
refreshInterval: 1h在 values.yaml 中引用它
这样，您的图表值只需保存已同步机密资源的名称，而不是机密信息本身，因此可以安全地提交配置。
existingSecret: db-credentials职责解耦
这种模式将机密信息管理者与应用部署者的职责解耦。安全团队负责保管库，图表作者只需引用它。
快速检查
外部机密操作器究竟做什么？
回顾
您已经了解，外部机密操作器如何将保管库中的值同步到 Kubernetes 机密资源中，使图表只需发布引用。🎉
常见问题解答
「从外部机密信息运算符获取机密信息」课时是免费的吗？
是的 — 「从外部机密信息运算符获取机密信息」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Helm Academy 课程的其余内容，请升级到 CoddyKit PRO。 Helm Academy 课程共包含 4 节课。
「从外部机密信息运算符获取机密信息」这节课中我会学到什么？
在部署时从保管库获取机密信息 你通过在浏览器中直接运行的动手代码来练习 Helm Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Helm Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Helm Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「从外部机密信息运算符获取机密信息」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Helm Academy 课中编写并运行代码吗？
能。每节 Helm Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。