K8s-day10-配置中心Configmap+Secret
文章目录
配置中心Condifmap+Secret
一、ConfigMap
能使一个配置文件多台机器共用，杜绝重复修改，支持热更新，且解决了应用挂载的问题！
- configMap是K8s中的标准组件，有两种方式实现给Pod传递配置参数：
- 挂载的方式：将环境变量直接定义在configMap中，当Pod启动时，通过env来引用configMap中定义的环境变量。
- 存储卷方式：将一个完整配置文件封装到configMap中，然后通过共享卷的方式挂载到Pod中，实现给应用传参。
了解：
- 修改configmap中的文件，可以同步到所有的挂载此configmap的容器中（仅仅同步到容器中），但是如果使用subPath参数，则热更新失效。
- configMap挂载会直接覆盖原来的目录，如果不覆盖则需要使用subPath参数（subPath参数只能够针对文件，同时不支持热更新）
1.创建configmap的三种方式
1）配置清单的方式
1> 编写配置清单
- 存储卷方式
cat > configmap.yaml <<EOF
apiVersion: v1
kind: ConfigMap
metadata:
name: nginx-config
data:
default.conf: |
server {
listen 80;
listen [::]:80;
server_name _;
location / {
root /usr/share/nginx/html;
index index.html index.php;
}
location ~ \.php$ {
root /usr/share/nginx/html;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /usr/share/nginx/html$fastcgi_script_name;
include fastcgi_params;
}
}
EOF
2> 部署测试
# 部署
[root@k8s-master1 ~]# kubectl apply -f configmap.yaml
configmap/nginx-config created
# 查看
[root@k8s-master1 ~]# kubectl get configmaps
NAME DATA AGE
nginx-config 1 2m49s
# 删除
[root@k8s-master1 ~]# kubectl delete -f configmap.yaml
configmap "nginx-config" deleted
2）部署目录的方式
# 删除
[root@k8s-master1 ~]# kubectl create configmap nginx-tls --from-file=./
# 查看
[root@k8s-master1 ~]# kubectl get configmaps
NAME DATA AGE
nginx-tls 12 7s
# 删除
[root@k8s-master1 ~]# kubectl delete configmaps nginx-tls
configmap "nginx-tls" deleted
3）部署文件的方式
- 需指定证书路径，若在当前路径可不指定
# 部署
[root@k8s-m-01 ~/zs/Nginx]# kubectl create configmap nginx-tls-crt --from-file=tls.crt
# 查看
[root@k8s-master1 ~]# kubectl get configmaps
NAME DATA AGE
kube-root-ca.crt 1 20d
# 删除
[root@k8s-master1 ~]# kubectl delete configmaps kube-root-ca.crt
configmap "kube-root-ca.crt" deleted
2.用configmap配置部署项目
- 配置discuz的配置文件到配置清单
- 下面使用挂载的方式，将配置文件挂载到容器中
cat condig-discuz.yaml <<EOF
# 配置discuz的配置文件到配置清单
kind: ConfigMap
apiVersion: v1
metadata:
namespace: discuz
name: discuz-configmap
data:
default.conf: |
server {
listen 80;
server_name linux.discuz.com;
root /opt/upload/;
location / {
index index.php;
}
location ~* \.php$ {
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root/$fastcgi_script_name;
include fastcgi_params;
}
}
---
# 使用挂载的方式，将配置文件挂载到容器中
kind: Deployment
apiVersion: apps/v1
metadata:
name: discuz
namespace: discuz
spec:
selector:
matchLabels:
app: discuz
deploy: discuz
template:
metadata:
labels:
app: discuz
deploy: discuz
spec:
containers:
- name: php
image: 18954354671/lnmp-php-discuz:v2 # 此时去准备构建discuz的镜像并上传，再往下写
livenessProbe: # 存活检测定义
tcpSocket: # tcpSocket连接端口
port: 9000
initialDelaySeconds: 30 # 数据库初始化启动时间，根据机器反应快慢定义
successThreshold: 1 # 探测数据库启动成功次数
failureThreshold: 3 # 探测数据库启动失败次数
timeoutSeconds: 1 # 本地连接探测超时时间，一秒足够长
periodSeconds: 2 # 执行探测频率，几秒一次，默认10秒
readinessProbe: # 就绪检测定义，同上
tcpSocket:
port: 9000
initialDelaySeconds: 30
successThreshold: 1
failureThreshold: 3
timeoutSeconds: 1
periodSeconds: 2
- name: nginx
image: 18954354671/lnmp-nginx-discuz:v2
command: ["/bin/bash","-c","--"]
#args: ["while true;do sleep 30;done;"]
livenessProbe: # 存活检测定义
tcpSocket:
port: 80 # tcpSocket连接端口
initialDelaySeconds: 30 # 数据库初始化启动时间，根据机器反应快慢定义
successThreshold: 1 # 探测数据库启动成功次数
failureThreshold: 3 # 探测数据库启动失败次数
timeoutSeconds: 1 # 本地连接探测超时时间，一秒足够长
periodSeconds: 2 # 执行探测频率，几秒一次，默认10秒
readinessProbe: # 就绪检测定义，同上
tcpSocket:
port: 80
initialDelaySeconds: 30
successThreshold: 1
failureThreshold: 3
timeoutSeconds: 1
periodSeconds: 2
volumeMounts:
- mountPath: /usr/share/nginx/html/upload
name: upload-data
- mountPath: /etc/nginx/conf.d
name: discuz-configmap
volumes: # 此时需要给Deployment创建pv（建议单独创建，不能随便修改且防止误删除：deployment-pv.yaml）
- name: upload-data # pv需指定为此discuz的命名空间
persistentVolumeClaim:
claimName: upload-data
- name: discuz-configmap
configMap:
name: discuz-configmap
items:
- key: default.conf
path: default.conf
---
# 部署discuz-Service
kind: Service
apiVersion: v1
metadata:
name: discuz-svc
namespace: discuz
spec:
ports:
- port: 80
targetPort: 80
name: http
selector:
app: discuz
deploy: discuz
clusterIP: None
---
kind: Ingress
apiVersion: extensions/v1beta1
metadata:
name: discuz
namespace: discuz
spec:
rules:
- host: linux.discuz.com
http:
paths:
- backend:
serviceName: discuz-svc
servicePort: 80
EOF
4、Secret
Secret用来保存敏感数据，保存之前就必须将文件进行base64加密，挂载到pod中，自动解密。
Secret类型：
tls： 一般用来部署证书
Opaque ： 一般用来部署密码
Service Account ： 部署kubernetes API认证信息
kubernetes.io/dockerconfigjson ： 部署容器仓库登录信息
apiVersion: v1
kind: Secret
metadata:
name: test
data:
name: b2xkYm95Cg==
二、secret
将密码转换为密文，写入配置清单中，起到加密的作用。
k8s secrets用于存储和管理一些敏感数据，比如密码、token、密钥等敏感信息；它把 Pod 想要访问的加密数据存放到 Etcd 中，然后用户就可以通过在 Pod 的容器里挂载 Volume 的方式或者环境变量的方式访问到这些 Secret 里保存的信息了。
-
Secret有三种类型：
- Opaque
- base64 编码格式的 Secret，用来存储密码、密钥等；但数据也可以通过base64 –decode解码得到原始数据，所以加密性很弱。
- Service Account
- 用来访问Kubernetes API，由Kubernetes自动创建；
- 并且会自动挂载到Pod的run/secrets/kubernetes.io/serviceaccount 目录中。
- kubernetes.io/dockerconfigjson
- 用来存储私有docker registry的认证信息。
- Opaque
-
Pod需要先引用才能使用某个secret，Pod有2种方式来使用secret：
- 作为volume的一个域，被一个或多个容器挂载；
- 在拉取镜像的时候被kubelet引用。
1.创建secret两种方式
1）基于参数创建
- 可将加密密码写入配置清单，对于不会解密的人来说相对安全
- 创建变量参数（进行base64解码）
1> 创建变量参数
-n：不换行输出，换行的话就不是123的加密字符了，会多一个换行
# 创建加密用户名、密码
[root@k8s-master1 ~]# echo -n "user" | base64
dXNlcg==
[root@k8s-master1 ~]# echo -n "pwd" | base64
cHdk
# 解密方式参考：
[root@k8s-master1 ~]# echo -n "dXNlcg==" | base64 -d
user
2> 创建yaml文件
- 将创建的用户名、密码调用至配置清单内
cat > secret.yaml <<EOF
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: cHdk
data:
username: cHdk
password: MTIzYWRtaW4=
EOF
3> 运行测试
# 运行
[root@k8s-master1 ~]# kubectl apply -f secret.yaml
secret/mysecret created
# 查看状态
[root@k8s-master1 ~]# kubectl get secrets mysecret
NAME TYPE DATA AGE
mysecret cHdk 2 12s
# 查看详情
[root@k8s-master1 ~]# kubectl describe secrets mysecret
Name: mysecret
Namespace: default
Labels: <none>
Annotations: <none>
Type: cHdk
Data
====
password: 8 bytes
username: 3 bytes
# 删除
[root@k8s-master1 ~]# kubectl delete secrets mysecret
secret "mysecret" deleted
2）基于文件创建secret
1> 创建用户与密码文件
# 定义用户名、密码
[root@k8s-master1 ~]# echo -n 'zhangsan' > username.txt
[root@k8s-master1 ~]# echo -n '123admin' > password.txt
2> 运行测试
# 运行测试，此处不能用apply
[root@k8s-master1 ~]# kubectl create secret generic db-user-pass --from-file=./username.txt --from-file=./password.txt
secret/db-user-pass created
# 查看状态
[root@k8s-master1 ~]# kubectl get secrets db-user-pass
NAME TYPE DATA AGE
db-user-pass Opaque 2 33s
# 查看详细信息
[root@k8s-master1 ~]# kubectl describe secrets db-user-pass
Name: db-user-pass
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
====
password.txt: 8 bytes
username.txt: 8 bytes
# 删除
[root@k8s-master1 ~]# kubectl delete secrets db-user-pass
secret "db-user-pass" deleted
2.Secret应用到Pod中
- 以下两种方式均用一个密文生成的密码
1）通过变量的方式
- 调用流程：生成密文>>>secret清单调用生成的密文>>>Pod清单直接调用如下固定格式：
- SECRET_USERNAME
- SECRET_PASSWORD
- 默认调用这两个格式，在下面指定密文的变量名与变量密码，Pod会自己去找对应的值~
- 这样可以多一层防护，Pod也可以直接调用生成的密文，相比不够这样安全。
1> 生成密文
[root@k8s-master1 ~]# echo -n 'user' | base64
dXNlcg==
[root@k8s-master1 ~]# echo -n "pwd" | base64
cHdk
2> 定义secret清单
- 两个清单可以合并到一起，用三个减号隔开即可，Pod清单在下
cat > secret.yaml <<EOF
# 定义secret清单
apiVersion: v1
kind: Secret
metadata:
name: mysecret
type: Opaque
data:
username: dXNlcg== # SECRET_USERNAME的 key 填写 username
password: cHdk # SECRET_PASSWORD的 key 填写 password
---
# 定义Pod清单
apiVersion: v1
kind: Pod
metadata:
name: mypod
spec:
containers:
- name: nginx
image: nginx
env:
- name: SECRET_USERNAME # 定义用户名变量名，固定格式
valueFrom:
secretKeyRef:
name: mysecret
key: username # 指定用户名的变量名
- name: SECRET_PASSWORD # 定义密码变量名，固定格式
valueFrom:
secretKeyRef:
name: mysecret
key: password # 指定密码的变量名
EOF
3> 运行测试
# 创建Pod
[root@k8s-master1 ~]# kubectl apply -f secret.yaml
secret/mysecret created
pod/mypod created
# 查看secret状态
[root@k8s-master1 ~]# kubectl get secrets mysecret
NAME TYPE DATA AGE
mysecret Opaque 2 16s
# 查看Pod状态
[root@k8s-master1 ~]# kubectl get pod
NAME READY STATUS RESTARTS AGE
mypod 1/1 Running 0 2m56s
# 查看详细信息
[root@k8s-master1 ~]# kubectl describe secrets mysecret
Name: mysecret
Namespace: default
Labels: <none>
Annotations: <none>
Type: Opaque
Data
====
password: 3 bytes
username: 4 bytes
4> 进入Pod查看密文
# 进入容器
[root@k8s-master1 ~]# kubectl exec -it mypod bash
# 解密验证成功，与当初定义一致
root@mypod:/# echo $SECRET_USERNAME
user
root@mypod:/# echo $SECRET_PASSWORD
pwd
2）通过挂载的方式
- 以volume的形式挂载到pod的某个目录下
1> 定义配置清单
cat > secret-pod.yaml <<EOF
# 先定义
kind: Secret
apiVersion: v1
metadata:
name: test
data:
username: dXNlcg== # 将定义的加密密码写到此处，pod起来后，密文推过去会自动解密
---
# 后调用
kind: Deployment
apiVersion: apps/v1
metadata:
name: mysecret
spec:
selector:
matchLabels:
app: mysecret
template:
metadata:
labels:
app: mysecret
spec:
containers:
- name: nginx
image: nginx
volumeMounts:
# 容器被挂载目录
- mountPath: /usr/share/nginx/html
# 存储卷的名字
name: mysecret
volumes:
- name: mysecret
secret:
secretName: test
items:
# 调用密文变量名
- key: username
path: name
EOF
2> 运行测试
#运行Pod
[root@k8s-master1 ~]# kubectl apply -f secret-pod.yaml
secret/test unchanged
deployment.apps/mysecret created
# 查看运行状态
[root@k8s-master1 ~]# kubectl get pod
NAME READY STATUS RESTARTS AGE
mysecret-776998db65-rqhpn 1/1 Running 0 2m55s
3> 进入Pod查看密文
# 进入容器
[root@k8s-master1 ~]# kubectl exec -it mysecret-776998db65-rqhpn bash
# # 解密验证成功，与当初定义一致
root@mysecret-776998db65-rqhpn:/# cat /usr/share/nginx/html/name
user
