在 Kubernetes 中使用 Secret 时遇到的坑及其解决办法

在 Kubernetes 中，Secret 是一种用于存储敏感信息的对象，并且可以被 Pod 中的容器挂载和使用。但是，在使用 Secret 过程中，常常会遇到一些困难和问题。本文将提供一些解决操作，以及示例代码来帮助你更好地使用 Kubernetes 中的 Secret。

坑

使用 Kubernetes Secret 时，可能会遇到以下问题：

1. Secret 明文存储

Secret 信息存储在 etcd 的某个节点上，如果你的 Kubernetes 集群被攻击，攻击者可以通过读取 etcd 的数据，获取 Secret 明文。

2. Secret 数据无法直接修改

一旦 Secret 被创建，数据就无法直接修改。你需要删除旧的 Secret 对象，并重新创建一个新的对象。这在高可用(Rolling Update)模式下非常麻烦。

3. Base64 编码

虽然 Secret 中的数据默认经过 Base64 编码，但是这种方式并不安全，可以通过简单的解码得到原始数据。

4. Secret 数据泄露

在使用 Secret 时，需要特别注意数据的保密性。很多时候，我们很容易忽略一个 Pod 中使用的 Secret 被暴露给了其它 Pod。

解决办法

1. 使用加密算法存储 Secret

可以使用 Kubernetes 提供的 secrets-encryption-config 对 Secret 进行加密，使用此方法可以将 Secret 存储在 etcd 上的加密。

示例代码

// www.javascriptcn.com code example
apiVersion: apiserver.config.k8s.io/v1alpha1
kind: EncryptionConfiguration
...
resources:
  - resources: [secrets]
    providers:
      - identity: {}
      - aesgcm:
          keys:
            - name: key1
              secret: Zm9vYmFyYmF6

2. 使用 kubeseal 修改 Secret

kubeseal 允许管理员使用 kubectl apply 修改和创建加密的 Secret，使用此方法可以避免直接将 Secret 明文存储在 etcd 中。

示例代码

apiVersion: bitnami.com/v1alpha1
kind: SealedSecret
metadata:
  name: my-secret
spec:
  encryptedData:
    password: AgB7x8jqc4uQ7oJZt+jlZ7Kj1tS5V/b70a1bXKBz+HxP69oRg==

3. 使用 HashiCorp Vault 管理 Secret

Vault 是一个开源的密钥管理工具，可以用于存储和访问敏感数据。在 Kubernetes 中，可以使用 Vault 来存储 Secret，并且可以将 Secrets 置于 Kubernetes 集群外，从而更好的维护数据的保密性。

示例代码

// www.javascriptcn.com code example
apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
data:
  password: {{ vault "secret/data/my-app/password" }}
  username: {{ vault "secret/data/my-app/username" }}
  api-key: {{ vault "secret/data/my-app/apikey" }}

4. 使用 istio 管理 Secret 数据流

istio 提供了一种简单但强大的控制流量的方法，包括对着陆流量、传出流量、Pod 之间流量的控制等。使用 istio 可以更好的管理 Secret 对象，避免数据泄露等问题。

意义

使用 Secret 是安全管理敏感数据的重要方式之一，但是在使用过程中需要注意密钥的安全存储以及流程控制，避免因此导致数据泄露等问题。本文提供的解决办法能够帮助你更好地使用 Secret，更好地保护你的数据。让你及你的应用程序能够更好地发挥在 Kubernetes 集群中的优势。

来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67d784cca941bf7134d79dbf