使用 helm 时创建的额外秘密答案

【问题标题】：Extra secrets created when helm is used使用 helm 时创建的额外秘密
【发布时间】：2020-02-29 17:27:24
【问题描述】：

我创建了一个掌舵图，其中 secrets.yaml 为：

apiVersion: v1
kind: Secret
type: Opaque
metadata: 
 name: appdbpassword
stringData:
  password: password@1

我的 pod 是：

apiVersion: v1
kind: Pod
metadata:
  name: expense-pod-sample-1
spec:
  containers:
    - name: expense-container-sample-1
      image: exm:1
      command: [ "/bin/sh", "-c", "--" ]
      args: [ "while true; do sleep 30; done;" ]
      envFrom:
      - secretRef:
              name: appdbpassword

每当我运行kubectl get secrets 命令时，我都会得到以下秘密：

name                                     Type                 Data    Age
appdbpassword                            Opaque               1      41m
sh.helm.release.v1.myhelm-1572515128.v1  helm.sh/release.v1   1      41m

为什么我会得到那个额外的秘密？我在这里遗漏了什么吗？

【问题讨论】：

您使用的是哪个 helm 版本？
@EduardoBaitello 我使用的是 3.0.0

标签： kubernetes kubernetes-helm kubernetes-secrets

【解决方案1】：

Helm v2 used ConfigMaps 默认存储发布信息。 ConfigMap 是在 Tiller 的同一个命名空间中创建的（通常是 kube-system）。

在 Helm v3 中，Tiller 被移除，每个发布版本的信息had to go somewhere：

在 Helm 3 中，关于特定版本的发布信息现在是存储在与发布本身相同的命名空间中。

此外，Helm v3 uses Secrets as default 存储驱动程序而不是 ConfigMaps（即，预计您会看到每个具有发布版本的命名空间的这些 helm 机密）。

【讨论】：

我希望当我使用 upgrade --install 时，我只看到 1 个密码而不是 20
@MartinKosicky Helm 2 总是为每个发布版本创建一个新的 configMap。不同之处仅在于 Helm 3 现在使用 Secrets...如果您进行了 100 次升级，您将有 100 个修订，因此将有 100 个 Secrets...您可以查看一些示例 here。还值得一提的是，每次安装、升级或回滚时，修订号都是incremented by 1。
是的，我同意它不应该保留旧的秘密（我不需要它们）
helm 应该创建一个新的命名空间并将这些烦人的秘密放在那里

【解决方案2】：

helm upgrade 可以选择限制保留的旧部署机密的数量：

--history-max int      limit the maximum number of revisions saved per release.
                       Use 0 for no limit (default 10)

【讨论】：

这是否意味着：我们只能回滚一个版本的 10 个版本，对吧？

【解决方案3】：

这是因为 Helm3 中不再有出纳员。因此，发布信息现在存储在与发布本身相同的命名空间中，是一个秘密。

Helm 使用哪个 default storage driver。

【讨论】：