如何处理ConfigMap中的机密？

Question

我想在Secret中使用ConfigMap。这可能吗？

示例：

可能需要这样做的一个示例是，如果您想从Fluentd to S3开始书写。在配置中，您必须添加您的AWS凭证。

替代项：

在集群本身上使用环境变量。我不喜欢这个主意，因为该变量仍然会将秘密包含为纯文本。

在设置过程中通过密码。如果您使用的是部署工具，则可能会在应用程序部署期间传递密码。这也不是一个好的解决方案，因为您仍将秘密作为纯文本传递给部署工具。这种方法的优点是您不会意外将您的秘密检入git。

Answer 1

尝试avoid在kubernetes中使用AWS凭证。

您可以see aws_key_id和aws_sec_key是可选字段。

使用AWS IAM role并将其分配给kubernetes节点。

然后尝试在其config中没有AWS凭证的情况下运行流利的应用程序。

只需尝试一下。

希望这会有所帮助。

更新：

This文章介绍了将aws iam用于kubernetes的不同方法。

Kube2iam和许多类似的other工具可能会有所帮助。试试看。

Answer 2

否，这是不可能的。您应该始终将secret用于敏感数据。

默认情况下，机密仅是base64编码的文件内容，因此您应使用Vault之类的内容来安全存储敏感数据。