kubernetes - 如何处理 ConfigMaps 中的秘密？

Question

我想使用 a Secretinside a ConfigMap。这可能吗？

例子：

如果您想从Fluentd 写入 S3 ，则可能需要这样做的一个示例。在配置中，您必须添加您的 AWS 凭证。

备择方案：

在集群本身上使用环境变量。我不喜欢这个想法，因为该变量仍将包含纯文本形式的秘密。

在设置过程中传递密码。如果您使用部署工具，则可能会在应用程序部署期间传递秘密。这也不是一个好的解决方案，因为您仍然将秘密作为纯文本传递给部署工具。这种方法的一个优点是您不会意外地将您的秘密签入 git。

Answer 1

尽量避免在 kubernetes 中使用 aws 凭据。

如您所见 aws_key_id， 和aws_sec_key是可选字段。

利用AWS IAM 角色并将其分配给 kubernetes 节点。

然后尝试在config中运行没有 aws 凭据的 fluentd 应用程序。

试一试。

希望这可以帮助。

更新：

本文介绍了将 aws iam 用于 kubernetes 的不同方法。

Kube2iam和许多其他类似的工具可能会有所帮助。试试看。

Answer 2

不，这是不可能的。您应该始终对敏感数据使用机密。

默认情况下，机密只是文件的 base64 编码内容，因此您应该使用Vault之类的东西来保护您的敏感数据。