在Kubernetes中如何将ConfigMap和Secret作为环境变量注入到Pod

题目

在Kubernetes中如何将ConfigMap和Secret作为环境变量注入到Pod

信息

• 类型：问答
• 难度：⭐

考点

ConfigMap基础使用,Secret基础使用,环境变量注入

快速回答

在Kubernetes中可通过以下步骤将ConfigMap和Secret作为环境变量注入Pod：

• 创建包含配置数据的ConfigMap：kubectl create configmap
• 创建包含敏感数据的Secret：kubectl create secret generic
• 在Pod的env或envFrom字段中引用：
  • 单个值注入：valueFrom.configMapKeyRef/valueFrom.secretKeyRef
  • 批量注入：envFrom.configMapRef/envFrom.secretRef

原理说明

ConfigMap用于存储非敏感配置数据（如配置文件、环境变量），Secret用于存储敏感数据（如密码、密钥）。两者均可通过环境变量注入到Pod容器中，使应用运行时获取外部配置。

操作步骤与代码示例

1. 创建ConfigMap和Secret

# 创建ConfigMap
kubectl create configmap app-config --from-literal=LOG_LEVEL=INFO

# 创建Secret（Base64编码自动处理）
kubectl create secret generic db-creds --from-literal=DB_PASSWORD='p@ssw0rd'

2. 在Pod定义中注入环境变量

apiVersion: v1
kind: Pod
metadata:
  name: my-app
spec:
  containers:
  - name: app-container
    image: my-app:1.0
    env:
      # 单个ConfigMap值注入
      - name: LOG_LEVEL
        valueFrom:
          configMapKeyRef:
            name: app-config
            key: LOG_LEVEL

      # 单个Secret值注入
      - name: DB_PASSWORD
        valueFrom:
          secretKeyRef:
            name: db-creds
            key: DB_PASSWORD

    # 批量注入ConfigMap全部数据
    envFrom:
      - configMapRef:
          name: app-config

      # 批量注入Secret全部数据（注意：会暴露所有键值）
      - secretRef:
          name: db-creds

最佳实践

• 敏感数据必用Secret：密码、API密钥等必须存储在Secret中
• 避免批量注入Secret：防止意外暴露不必要的数据
• 命名规范：使用大写+下划线的环境变量名（如DB_HOST）
• 配置热更新：环境变量注入不支持动态更新，需重启Pod生效

常见错误

• Secret未Base64编码：手动创建Secret时需先编码（echo -n 'data' | base64）
• 键名拼写错误：configMapKeyRef或secretKeyRef中的key名称需完全匹配
• 资源未创建：Pod启动前需确保ConfigMap/Secret已存在

扩展知识

• 其他注入方式：ConfigMap/Secret还可通过Volume挂载到容器文件系统
• Immutable Secret：Kubernetes 1.21+支持设置immutable: true提升安全性
• 外部Secret管理：生产环境建议集成HashiCorp Vault等专业工具