K8s敏感信息管理终极指南

Kubernetes敏感信息管理终极指南：从基础到企业级方案

在生产环境中，密钥、证书等敏感信息的处理直接关系到系统安全性。本文将深入解析Kubernetes敏感信息管理的6种方案，并提供企业级安全加固策略。

---

一、原生Secret基础用法（适合中小团队）

1. 创建Secret的四种姿势

# 1. 命令行直接创建
kubectl create secret generic db-creds \
  --from-literal=username=admin \
  --from-literal=password=S3cre!2023

# 2. 从文件加载（自动base64编码）
kubectl create secret generic tls-cert \
  --from-file=./ssl.crt \
  --from-file=./ssl.key

# 3. 环境变量文件注入
echo -e "API_KEY=abc123\nDB_PASS=456def" > .env
kubectl create secret generic app-env --from-env-file=.env

# 4. YAML声明式创建（需手动base64）
echo -n 'admin' | base64  # YWRtaW4=

apiVersion: v1
kind: Secret
metadata:
  name: manual-secret
type: Opaque
data:
  username: YWRtaW4=
  password: UzNjcmUhMjAyMw==

2. 在Pod中使用Secret

# 方式1：挂载为文件
spec:
  containers:
    - volumeMounts:
        - mountPath: "/etc/secrets"
          name: creds-volume
  volumes:
    - name: creds-volume
      secret:
        secretName: db-creds

# 方式2：注入环境变量
spec:
  containers:
    - env:
        - name: DB_PASSWORD
          valueFrom:
            secretKeyRef:
              name: db-creds
              key: password

3. 必须知道的限制

• Base64≠加密：只是编码转换，可通过echo YWRtaW4= | base64 -d轻松解码
• Etcd存储风险：默认以明文存储，需开启加密配置
• 1MB大小限制：不适合存储大型密钥库

---

二、生产级安全加固方案

1. Etcd加密配置

# 在kube-apiserver启动参数添加
--encryption-provider-config=/etc/kubernetes/encrypt.conf

加密配置文件示例：

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
      - secrets
    providers:
      - aescbc:
          keys:
            - name: key1
              secret: <base64-encoded-32-byte-key>
      - identity: {} # 允许解密旧数据

2. RBAC最小权限控制

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: production
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get"]
  resourceNames: ["db-creds"]  # 精确控制可访问的Secret

3. 密钥轮换策略

# 1. 生成新版本Secret
kubectl create secret generic db-creds-v2 --from-literal=password=New@2023

# 2. 滚动更新相关Deployment
kubectl set env deployment/app-server --from=secret/db-creds-v2

# 3. 保留旧版本1小时后删除
kubectl delete secret db-creds --grace-period=3600

---

三、企业级密钥管理方案

1. HashiCorp Vault集成

# 使用Vault Agent Sidecar注入密钥
spec:
  initContainers:
  - name: vault-agent
    image: vault:1.13
    command: ["vault", "login", "-method=kubernetes"]
  containers:
  - name: app
    volumeMounts:
    - mountPath: "/vault/secrets"
      name: vault-secrets
  volumes:
  - name: vault-secrets
    emptyDir: {}

2. AWS Secrets Manager方案

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-db-creds
spec:
  provider: aws
  parameters:
    objects: |
      - objectName: "prod/database"
        objectType: "secretsmanager"

# Pod挂载CSI驱动
spec:
  containers:
    volumeMounts:
    - name: secrets-store
      mountPath: "/mnt/secrets"
  volumes:
  - name: secrets-store
    csi:
      driver: secrets-store.csi.k8s.io
      readOnly: true
      volumeAttributes:
        secretProviderClass: "aws-db-creds"

---

四、安全监控与审计

1. 敏感操作日志追踪

# 查看Secret访问记录
kubectl get events --field-selector involvedObject.kind=Secret

# 审计日志配置示例
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
- level: Metadata
  resources:
  - group: ""
    resources: ["secrets"]

2. 密钥使用扫描

# 使用kube-hunter检测风险
kube-hunter --remote <cluster-ip>

# 检查环境变量泄露风险
kubectl get pods -o json | jq '.items[].spec.containers[].env[]? | select(.valueFrom.secretKeyRef)'

3. 镜像安全扫描

# 使用Trivy扫描镜像中的敏感信息
trivy image --security-checks secret my-app:1.0

---

五、常见陷阱与规避策略

1. 日志泄露

   # 错误示例：在启动命令打印敏感信息
   command: ["sh", "-c", "echo $PASSWORD > /tmp/pass.txt"]
   
   # 正确做法：关闭调试日志输出
   env:
   - name: LOG_LEVEL
     value: "INFO"
   

2. 配置错误挂载

   # 危险操作：将整个Secret挂载到web目录
   volumeMounts:
     - mountPath: "/usr/share/nginx/html"
       name: secrets-vol
   
   # 安全做法：使用子路径挂载特定文件
   volumeMounts:
     - mountPath: "/etc/secrets/pass"
       name: secrets-vol
       subPath: password
   

3. 密钥版本管理

   # 使用Kustomize管理多环境密钥
   bases/
   ├── dev
   │   └── secrets
   └── prod
       └── secrets
   

---

终极建议选择矩阵

场景	推荐方案	注意事项
小型团队快速起步	Kubernetes原生Secret	务必开启Etcd加密
中等规模多环境	Sealed Secrets	妥善保管私钥
云原生环境	云厂商密钥管理服务	关注跨区域复制能力
企业级合规要求	HashiCorp Vault	需要专业运维团队
混合云架构	External Secrets Operator	统一多集群密钥管理

记住：没有绝对安全的系统，只有不断完善的防护体系！定期进行安全审计和渗透测试，才是守护敏感信息的终极防线。