Pulumi：检索kubernetes的秘密价值

Question

我有一个带有内联纯文本配置的服务，该服务需要存储在Kubernetes机密中的某些信息。哪种@pulumi/kubernetes API方法可用于访问原始kubernetes秘密值？

Answer 1

简短的回答是，我认为它不会让您看到秘密，而是在您想使用它的地方使用参考：部署，StatefulSet，DaemonSet，Pods等。从安全角度来看，这是有意义的

您可以看到创建机密here

的示例

Answer 2

该API看起来像是Kubernetes API的镜像，特别是有一个core/v1.Secret对象，其中包含机密data。这些值是base64编码的。

（除非RBAC禁止这样做，否则您通常可以kubectl get secret -o yaml secretname看到相同的东西... Kubernetes的机密也是如此。）

如果您是在服务的上下文中运行此命令，则可能更容易使用environment variables set from the relevant secret values来启动服务，例如使用YAML片段

env:
- name: SECRET_USERNAME
  valueFrom:
    secretKeyRef:
      name: test-secret
      key: username

Answer 3

使用if(value==null) { value = -1; } .... .... select p from Product p WHERE :value = -1 or p.category = :value （secretName can contain the namespace/ as prefix）。

Every Pulumi resource has a get() method。

例如：从k8s.core.v1.Secret.get(pulumiName, secretName)获取token：

kubernetes.io/service-account-token