如何在 helm 图表中引用 kubernetes 的秘密？答案

【问题标题】：How to reference kubernetes secrets in helm chart?如何在 helm 图表中引用 kubernetes 的秘密？
【发布时间】：2020-02-15 05:31:14
【问题描述】：

我想使用 helm 图表在 Kubernetes 中进行一些部署。这是我使用的示例覆盖值 yaml：

imageRepository: ""

ocbb:
    imagePullPolicy: IfNotPresent
    TZ: UTC
    logDir: /oms_logs
    tnsAdmin: /oms/ora_k8
    LOG_LEVEL: 3
    wallet:
        client: 
        server: 
        root:
    db:
        deployment:
            imageName: init_db
            imageTag:
        host: 192.168.88.80
        port:
        service:
        alias:
        schemauser: pincloud
        schemapass:
        schematablespace: pincloud
        indextablespace: pincloudx
        nls_lang: AMERICAN_AMERICA.AL32UTF8
        charset: AL32UTF8
        pipelineschemauser: ifwcloud
        pipelineschemapass:
        pipelineschematablespace: ifwcloud
        pipelineindextablespace: ifwcloudx
        pipelinealias:
        queuename:

在这个文件中，我必须设置一些涉及凭据的值，例如 schemapass、pipelineschemapass... 文档说明我必须生成 kubernetes 机密才能执行此操作，并将此密钥添加到具有相同路径层次结构的 yaml 文件中。

我生成了一些 kubernetes secret，例如：

kubectl create secret generic schemapass --from-literal=password='pincloud'

现在我不知道如何在我的 yaml 文件中引用这个新生成的秘密。关于如何在 yaml 图表中设置 schemapass 字段以引用 kubernetes 机密的任何提示？

【问题讨论】：

这不是图表，它只是设置其初始参数的values.yaml 文件。您应该在templates 目录中有一些看起来像 Kubernetes YAML 文件的文件，并带有一些额外的 {{ ... }} 标记，并且一种方法是在那里创建 Secret 而不是使用 kubectl create。需要什么 Kubernetes 对象来引用秘密？
没错，当你写评论的时候我已经在编辑帖子了:)
我理解正确吗？您想将秘密包含在掌舵值中吗？为什么不将其添加到创建 pod 的模板中？

标签： kubernetes kubernetes-helm kubernetes-secrets

【解决方案1】：

您不能在 values.yaml 中使用 Kubernetes 密钥。在values.yaml 中，您只需指定 Helm Chart 的输入参数，因此它可以是秘密名称，而不是秘密本身（或它解析的任何内容）。

如果你想在你的容器中使用秘密，那么你可以将它作为环境变量插入：

env:
- name: SECRET_VALUE_ENV
  valueFrom:
    secretKeyRef:
      name: schemapass
      key: password

您可以在Hazelcast Enterprise Helm Chart 中查看更多信息。我们正是这样做的。您在values.yaml 中指定秘密名称，然后使用环境变量将秘密注入容器中。

【讨论】：

这听起来很理想，但我在链接的 values.yaml 文件中找不到任何对此的引用。我在您的其他配置文件中找到了一个 env: MC_LICENSE_KEY 条目，但在 values.yaml 中没有。
是的，您不能直接在values.yaml 中定义它。换句话说，如果您的模板没有为此做好准备，您不能仅通过在 values.yaml 中指定某些内容来注入秘密。

【解决方案2】：

您可以通过在容器中将 K8S 值指定为环境变量来在 Helm 中引用 K8S 值（无论是否机密）。

让你的部署是 mongo.yml

--
kind: Deployment
   --
      --
      containers:
        --
        env:
        - name: DB_URL
          valueFrom:
            configMapKeyRef:
              name: mongo-config
              key: mongo-url
        - name: MONGO_INITDB_ROOT_PASSWORD
          valueFrom:
            secretKeyRef:
              name: mongo-secret
              key: mongo-password

mongo-secret 在哪里

apiVersion: v1
kind: Secret
metadata:
  name: mongo-secret
type: Opaque
data:
  mongo-user: bW9uZ291c2Vy
  mongo-password: bW9uZ29wYXNzd29yZA==

mongo-config 是

apiVersion: v1
kind: ConfigMap
metadata:
  name: mongo-config
data:
  mongo-url: mongo-service

【讨论】：