Kubernetes即学即用（第二版）

CongMap

与

Secret

｜

183

默认情况下，

Kubernetes Secret

以纯文本的形式存储在集群的

etcd

存储中。

或许这种方式无法满足你的安全需求。特别是，拥有集群管理权限的任何人

都能够读取集群中的机密数据。最新版本的

Kubernetes

可以使用用户提供的

密钥对机密进行加密，一般是集成到云密钥存储中。此外，大多数云密钥存

储都集成了

Kubernetes

灵活的卷，因此你完全可以无视

Kubernetes Secret

，

百分百依赖云提供商的密钥存储。所有这些选择提供的工具非常丰富，应该

足够根据你的需要制定安全配置文件。

本节的其余部分将探讨如何创建和管理

Kubernetes Secret

，以及将

Secret

公

开给

Pod

的最佳实践。

13.2.1

创建

Secret

你可以使用

Kubernetes API

或

kubectl

命令行工具创建

Secret

，以键值对集

合的形式保存一个或多个数据元素。

在本节中，我们将创建一个

Secret

，并用它来存储

kuard

应用程序的

TLS

密

钥和证书，以满足上述存储需求。

kuard

容器镜像并未捆绑

TLS

证书或密钥。因此，

kuard

容器具有可移植性，

可以跨多个环境，而且还可以通过公共

Docker

仓库进行分发。

创建

Secret

的第一步是获取我们要存储的原始数据。

kuard

应用程序的

TLS

密钥和证书可以通过运行以下命令下载：

$

curl -o kuard.crt https://storage.googleapis.com/kuar-demo/kuard.crt ...