如何在 google kubernetes 引擎上设置环境变量？

Question

我在Google Kubernetes Engine 上托管的GoLang 项目中使用Firebase。

我遵循的步骤：

1. 在 firebase 帐户上启用 firebase admin SDK。它为我生成了一个服务帐户JSON。这还在我的 Google 控制台服务凭据下创建了一个服务帐户。

2. 关注此answer 并使用kubectl create secret generic google-application-credentials --from-file=./sample-project.json 添加新密钥

3. 对我的deployment.YAML 文件进行了更改（添加了卷挂载和环境变量）

   spec:
     containers:
     - image: gcr.io/sample-ee458/city:0.27
     name: city-app
     volumeMounts:
     - name: google-application-credentials-volume
       mountPath: /etc/gcp
       readOnly: true 
   env:
   - name: GOOGLE_APPLICATION_CREDENTIALS
     value: /etc/gcp/application-credentials.json
   

4. 在同一个文件中设置卷

   volumes:
   - name: google-application-credentials-volume
   secret:
     secretName: google-application-credentials
     items:
     - key: application-credentials.json # default name created by the create secret from-file command
     path: application-credentials.json
   

5. 运行kubectl apply -f deployment.yaml 并使用docker push 命令进行部署。

它把我扔了error getting credentials using google_application_credentials environment variable gke。我在这里想念什么？任何提示都会很明显。

Answer 1

最后，我弄清楚如何复制它并使用环境变量。这是。更新后的YAMLfile

apiVersion: apps/v1beta1
kind: Deployment
metadata:
  name: my-app
spec:
  template:
    spec:
      volumes:
      - name: google-cloud-keys
        secret:
          secretName: gac-keys
      containers:
      - name: my-app
        image: us.gcr.io/my-app
        volumeMounts:
        - name: google-cloud-keys
          mountPath: /var/secrets/google
          readOnly: true
        env:
        - name: GOOGLE_APPLICATION_CREDENTIALS
          value: /var/secrets/google/new-file-name.json

Answer 2

您可以通过两种不同的方式使用 Secret：

• 将 Secret 挂载为 volume 并将其作为文件访问
• 将 Secret 映射到环境变量并通过读取变量来访问它

你似乎把它们都混合了。决定是要将其作为文件（推荐）还是作为环境变量来访问。

在文档中查看两者的示例：

• Using Secrets as files from a Pod
• Using Secrets as environment variables

示例 - 作为环境变量访问它

首先，创建 Secret，这可以像你一样完成：

kubectl create secret generic google-application-credentials --from-file=./application-credentials.json

我想将其作为环境变量访问。

要将秘密公开为 Pod 或 Deployment 中的环境变量，请将您的 Pod 模板编写为：

  containers:
  - name: city-app
    image: gcr.io/sample-ee458/city:0.27
    env:
      - name: GOOGLE_APPLICATION_CREDENTIALS
        valueFrom:
          secretKeyRef:
            name: google-application-credentials  # name of the Secret
            key: application-credentials.json

将 Secret 作为环境变量访问时，无需将其添加为卷。

Answer 3

关于秘密、环境变量和卷的当前答案是正确的。但是，如果您尝试在 GKE 中加载身份验证，我绝对不建议使用服务帐户密钥文件。

在 GKE 上，有一个名为 workload identity 的强大功能。它与metadata server on a compute engine instance（和其他产品）完全一样，但在 pod 和命名空间级别（创建一个代理来拦截元数据服务器调用并将它们重定向到正确的凭据，并配置有工作负载身份）。

它更安全，您不必保留和管理机密文件，并且存在所有限制和风险。