存储管理

ConfigMap

ConfigMap 概述

ConfigMap，简称 cm，名称空间级别资源；
ConfigMap 可以实现配置信息和镜像间解耦，也可以理解为是k8s中服务的配置中心

ConfigMap 类型

ConfigMap 有如下两种类型：

环境变量

ConfigMap 以 k/v 格式保存配置项的名称和配置数据；
Pod 中的容器以环境变量的方式从ConfigMap中加载特定的键的值。

存储卷

ConfigMap 定义完整的配置文件；
Pod 直接将 ConfigMap 以存储卷的形式进行附加，而由容器挂载至指定目录下，从而获取到完整的配置文件。
- 注意：因为configmap是以存储卷的形式附加，所以configmap在pod中挂载时会覆盖掉原有目录中的内容，解决方案可以是在主配置文件中定义子配置文件目录，然后再子配置文件目录中挂载configmap中定义的配置文件

其它镜像传参方式

启动容器时，直接向应用程序传递参数，args: []
将定义好的配置文件打入镜像之中
通过环境变量向容器传递配置数据
- 前提是应用得支持从环境变量加载配置信息
- 制作镜像时，使用entrypoint脚本来预处理变量，常见的做法就是使用非交互式编辑工具(sed…)，将环境变量的值替换到应用的配置文件中
基于存储卷向容器传递配置文件（运行中的容器更改需要重新加载容器中的应用程序或重启容器）

参考文档

ConfigMap Cmd

创建 K/V 格式的 ConfigMap

kubectl create <configmap|cm> NAME <--from-literal=key_name=value_name> [--from-literal=key_name=value_name]...

# kubectl create cm my.cnf --from-literal=key1=value1 --from-literal=key2=value2
configmap/my.cnf created


# kubectl get cm my.cnf 
NAME     DATA   AGE
my.cnf   2      38s


# kubectl get cm my.cnf -o yaml 
apiVersion: v1
data: # 定义的键值对：
  key1: value1
  key2: value2
kind: ConfigMap
metadata:
  creationTimestamp: "2022-09-17T12:01:20Z"
  name: my.cnf
  namespace: default
  resourceVersion: "120308"
  uid: d92eee14-078d-40b7-89d3-5ed15d92a8b3


# kubectl describe cm my.cnf
Name:         my.cnf
Namespace:    default
Labels:       <none>
Annotations:  <none>

Data
====
key1:
----
value1
key2:
----
value2

BinaryData
====

Events:  <none>

基于宿主机文件创建 ConfigMap

这种方式可以在配置文件较大时进行手动导入而生成configmap，避免了手动粘贴配置文件而导致的缩进不统一等错误的产生
kubectl create <configmap|cm> NAME <--from-file=[key_name=]source> [--from-file=[key_name=]source]...

# ls conf.d/
a.conf  b.conf
# cat conf.d/a.conf 
a conf content
# cat conf.d/b.conf 
b conf content


# 创建时可以自定义key_name，例如下面的b.conf，指定key_name的话会以key_name为基准
# kubectl create cm nginx.conf --from-file=conf.d/a.conf --from-file=b.cnf=conf.d/b.conf
configmap/nginx.conf created


# kubectl get cm nginx.conf -o yaml 
apiVersion: v1
data:
  a.conf: | # 不指定key_name的话会以文件名作为key_name，| 表示使用原有格式显示，否则配置文件内容会显示成为一行
    a conf content
  b.cnf: | # 指定key_name的话会以key_name为基准
    b conf content
kind: ConfigMap
metadata:
  creationTimestamp: "2022-09-17T12:07:43Z"
  name: nginx.conf
  namespace: default
  resourceVersion: "120767"
  uid: ee527428-f214-4219-9b39-836948421368

# kubectl describe cm nginx.conf
Name:         nginx.conf
Namespace:    default
Labels:       <none>
Annotations:  <none>

Data
====
a.conf:
----
a conf content

b.cnf: # 指定key_name的话会以key_name为基准
----
b conf content


BinaryData
====

Events:  <none>

基于目录创建 ConfigMap

# ls conf.d/
a.conf  b.conf
# cat conf.d/a.conf 
a conf content
# cat conf.d/b.conf 
b conf content


# kubectl create cm nginx.conf --from-file=conf.d/
configmap/nginx.conf created


# kubectl get cm nginx.conf -o yaml 
apiVersion: v1
data:
  a.conf: |
    a conf content
  b.conf: |
    b conf content
kind: ConfigMap
metadata:
  creationTimestamp: "2022-09-17T12:13:44Z"
  name: nginx.conf
  namespace: default
  resourceVersion: "121205"
  uid: f3d5270e-1e2c-4358-8546-039cf2cc7ef3

ConfigMap Example

注意事项

data下的自定义配置文件缩进非常严格，直接粘贴可能会导致报错
如果基于存储卷的方式挂载配置文件，被挂载目录中的原有文件会被覆盖（除非使用Pod.spec.containers.volumeMounts.subPath挂载子路径???）

范例：为 Pod 传递环境变量

ConfigMap 仅定义 K/V 格式变量；

ConfigMap

apiVersion: v1
kind: ConfigMap
metadata:
  name: demoapp-config
  namespace: default
data:
  demoapp.port: "8899" # 定义
  demoapp.host: 127.0.0.1 # 定义

Pod

apiVersion: v1
kind: Pod
metadata:
  name: configmaps-env-demo
  namespace: default
spec:
  containers:
  - image: ikubernetes/demoapp:v1.0
    name: demoapp
    env:
    - name: PORT # 自定义键
      valueFrom: # 值来自：
        configMapKeyRef: # 来自configMap
          name: demoapp-config # 选择configMap；需等于ConfigMap.metadata.name
          key: demoapp.port # 选择configMap中具体的key；需等于ConfigMap.data中的key
          optional: false # 是否可选，true可选，false必选(不存在则会报错退出)
    - name: HOST
      valueFrom:
        configMapKeyRef:
          name: demoapp-config
          key: demoapp.host
          optional: true # true表示可选，不存在则会忽略

验证

[root@configmaps-env-demo /]# ss -ntl
State       Recv-Q     Send-Q     Local Address:Port      Peer Address:Port           
LISTEN      0          128            127.0.0.1:8899           0.0.0.0:*                 


[root@configmaps-env-demo /]# env
KUBERNETES_SERVICE_PORT=443
KUBERNETES_PORT=tcp://10.96.0.1:443
HOSTNAME=configmaps-env-demo
SHLVL=1
PORT=8899 # 引入的环境变量
HOME=/root
PS1=[\u@\h \w]\$ 
TERM=xterm
KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
KUBERNETES_PORT_443_TCP_PORT=443
KUBERNETES_PORT_443_TCP_PROTO=tcp
HOST=127.0.0.1 # 引入的环境变量
DEPLOYENV=Production
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
RELEASE=Stable
KUBERNETES_SERVICE_HOST=10.96.0.1
PWD=/

范例：为 Pod 传递配置文件

ConfigMap 仅定义存储卷类型的配置文件；

ConfigMap

apiVersion: v1
data:
  myserver-gzip.cfg: |
    gzip on;
    gzip_comp_level 5;
    gzip_proxied     expired no-cache no-store private auth;
    gzip_types text/plain text/css application/xml text/javascript;
  myserver-status.cfg: |
    location /nginx-status {
        stub_status on;
        access_log off;
    }
  myserver.conf: |
    server {
        listen 8080;
        server_name www.ik8s.io;

        include /etc/nginx/conf.d/myserver-*.cfg;

        location / {
            root /usr/share/nginx/html;
        }
    }
kind: ConfigMap
metadata:
  name: nginx-config-files
  namespace: default

Pod

正常 Pod 中的内容

root@k8s-master-1:~# kubectl run test-nginx --image=nginx:1.23

root@k8s-master-1:~# kubectl exec -it test-nginx -- bash

root@test-nginx:/# ls -la /etc/nginx/conf.d/
total 20
drwxr-xr-x 1 root root 4096 Dec 30 03:46 .
drwxr-xr-x 1 root root 4096 Dec 21 11:28 ..
-rw-r--r-- 1 root root 1093 Dec 30 03:46 default.conf

格式一

volumes 引用 configMap中的部分内容，volumeMounts 将其挂载到整个目录下；
注意：这种方式会将挂载目录中原有的内容覆盖

apiVersion: v1
kind: Pod
metadata:
  name: nginx-1
  labels:
    app: nginx
  namespace: default
spec:
  containers:
  - name: nginx-container
    image: nginx:1.23
    imagePullPolicy: IfNotPresent
    volumeMounts:
    - name: nginx-confs # 引用卷名称
      mountPath: /etc/nginx/conf.d  # 容器上的路径，如果此目录事先不存在则会自动创建
      readOnly: true # 只读方式挂载   
  volumes:
  - name: nginx-confs # 定义卷名称
    configMap:
      name: nginx-config-files # 选择ConfigMap的名称，来自ConfigMap.metadata.name
      items: # 引用configMap中的部分内容
        - key: myserver.conf # 来自 ConfigMap.data 中的key
          path: myserver.conf # 定义配置文件名称
          mode: 0644 # 定义文件权限

验证

root@k8s-master-1:~# kubectl exec -it nginx-1 -- bash

root@nginx-1:/# ls -la /etc/nginx/conf.d/
total 12
drwxrwxrwx 3 root root 4096 Dec 30 03:51 .
drwxr-xr-x 3 root root 4096 Dec 21 11:28 ..
drwxr-xr-x 2 root root 4096 Dec 30 03:51 ..2022_12_30_03_51_46.4171449151
lrwxrwxrwx 1 root root   32 Dec 30 03:51 ..data -> ..2022_12_30_03_51_46.4171449151
lrwxrwxrwx 1 root root   20 Dec 30 03:51 myserver.conf -> ..data/myserver.conf

格式二

volumes 引用 configMap 中的全部内容，volumeMounts 单独选择要挂载的文件；
注意：这种方式挂载目录中原有的内容不会被覆盖覆盖，但不会生成软链接，因此无法通过修改configmap的方式动态修改配置文件

apiVersion: v1
kind: Pod
metadata:
  name: nginx-2
  namespace: default
spec:
  containers:
  - image: nginx:1.23
    name: nginx-server
    volumeMounts: # 在Pod挂载时单独选择要挂载的文件
    - name: ngxconfs # 引用卷名称
      mountPath: /etc/nginx/conf.d/myserver.conf
      subPath: myserver.conf # 挂载子路径，而非整个目录
      readOnly: true
    - name: ngxconfs # 引用卷名称
      mountPath: /etc/nginx/conf.d/myserver-gzip.cfg
      subPath: myserver-gzip.cfg
      readOnly: true
  volumes:
  - name: ngxconfs # 定义卷名称
    configMap: # 选择ConfigMap的名称，来自ConfigMap.metadata.name，引用 configMap 中的全部内容
      name: nginx-config-files

验证

root@k8s-master-1:~# kubectl exec -it nginx-2 -- bash

root@nginx-2:/# ls -la /etc/nginx/conf.d/
total 28
drwxr-xr-x 1 root root 4096 Dec 30 04:13 .
drwxr-xr-x 1 root root 4096 Dec 21 11:28 ..
-rw-r--r-- 1 root root 1093 Dec 30 04:13 default.conf # 挂载目录中原有的内容不会被覆盖覆盖
# 选择部分挂载的方式不会生成软链接，因此无法通过修改configmap的方式动态修改配置文件
-rw-r--r-- 1 root root  149 Dec 30 04:13 myserver-gzip.cfg
-rw-r--r-- 1 root root  164 Dec 30 04:13 myserver.conf

范例：为 fluent-bit 传递配置文件

ConfigMap

ConfigMap定义

apiVersion: v1
kind: ConfigMap
...
  name: fluent-bit # ConfigMap命名为fluent-bit
...
data: # 其中包含两个配置文件
  custom_parsers.conf: | # 配置文件1
    [PARSER]
        Name docker_no_time
        Format json
        Time_Keep Off
        Time_Key time
        Time_Format %Y-%m-%dT%H:%M:%S.%L
  fluent-bit.conf: | # 配置文件2
    [SERVICE]
        Daemon Off
        Flush 1
        Log_Level info
        Parsers_File parsers.conf
        Parsers_File custom_parsers.conf
        HTTP_Server On
        HTTP_Listen 0.0.0.0
        HTTP_Port 2020
        Health_Check On
...

Pod

...
    volumeMounts: # 挂载volumes
    - mountPath: /fluent-bit/etc/fluent-bit.conf # 挂载路径和文件名
      name: config # 挂载时引用的是volumes定义的名字
      subPath: fluent-bit.conf # 选择的是configMap中的子文件，ConfigMap.data.fluent-bit.conf
    - mountPath: /fluent-bit/etc/custom_parsers.conf
      name: config
      subPath: custom_parsers.conf
...
  volumes:
  - configMap: # 定义volumes引用configMap
      defaultMode: 420
      name: fluent-bit # 引用的是fluent-bit这个configMap
    name: config # volumes定义的名字

范例：综合实践

引用 ConfigMap 中的部分配置文件以及环境变量

ConfigMap

# ls
envoy.yaml  lds.conf

# kubectl create cm demoapp-confs --from-file=./envoy.yaml --from-file=./lds.conf --from-literal=demoapp.port=8080 --from-literal=demoapp.host=0.0.0.0
configmap/demoapp-confs created

describe

# kubectl describe cm demoapp-confs
Name:         demoapp-confs
Namespace:    default
Labels:       <none>
Annotations:  <none>

Data
====
demoapp.host:
----
0.0.0.0
demoapp.port:
----
8080
envoy.yaml:
----
node:
  id: sidecar-proxy
  cluster: demoapp-cluster

admin:
  access_log_path: /tmp/admin_access.log
  address:
    socket_address: { address: 0.0.0.0, port_value: 9901 }

dynamic_resources:
  lds_config:
    path: '/etc/envoy/lds.conf'

static_resources:
  clusters:
  - name: local_service
    connect_timeout: 0.25s
    type: STATIC
    lb_policy: ROUND_ROBIN
    load_assignment:
      cluster_name: local_service
      endpoints:
      - lb_endpoints:
        - endpoint:
            address:
              socket_address:
                address: 127.0.0.1
                port_value: 8080

lds.conf:
----
{
  "version_info": "0",
  "resources": [
    {
      "@type": "type.googleapis.com/envoy.api.v2.Listener",
      "name": "listener_0",
      "address": {
        "socket_address": {
          "address": "0.0.0.0",
          "port_value": 80
        }
      },
      "filter_chains": [
        {
          "filters": [
            {
              "name": "envoy.http_connection_manager",
              "config": {
                "stat_prefix": "ingress_http",
                "codec_type": "AUTO",
                "route_config": {
                  "name": "local_route",
                  "virtual_hosts": [
                    {
                      "name": "local_service",
                      "domains": [
                        "*"
                      ],
                      "routes": [
                        {
                          "match": {
                            "prefix": "/"
                          },
                          "route": {
                            "cluster": "local_service"
                          }
                        }
                      ]
                    }
                  ]
                },
                "http_filters": [
                  {
                    "name": "envoy.router"
                  }
                ]
              }
            }
          ]
        }
      ]
    }
  ]
}


BinaryData
====

Events:  <none>

yaml

kubectl get cm demoapp-confs -o yaml

# kubectl get cm demoapp-confs -o yaml 
apiVersion: v1
data:
  demoapp.host: 0.0.0.0
  demoapp.port: "8080"
  envoy.yaml: |
    node:
      id: sidecar-proxy
      cluster: demoapp-cluster

    admin:
      access_log_path: /tmp/admin_access.log
      address:
        socket_address: { address: 0.0.0.0, port_value: 9901 }

    dynamic_resources:
      lds_config:
        path: '/etc/envoy/lds.conf'

    static_resources:
      clusters:
      - name: local_service
        connect_timeout: 0.25s
        type: STATIC
        lb_policy: ROUND_ROBIN
        load_assignment:
          cluster_name: local_service
          endpoints:
          - lb_endpoints:
            - endpoint:
                address:
                  socket_address:
                    address: 127.0.0.1
                    port_value: 8080
  lds.conf: |
    {
      "version_info": "0",
      "resources": [
        {
          "@type": "type.googleapis.com/envoy.api.v2.Listener",
          "name": "listener_0",
          "address": {
            "socket_address": {
              "address": "0.0.0.0",
              "port_value": 80
            }
          },
          "filter_chains": [
            {
              "filters": [
                {
                  "name": "envoy.http_connection_manager",
                  "config": {
                    "stat_prefix": "ingress_http",
                    "codec_type": "AUTO",
                    "route_config": {
                      "name": "local_route",
                      "virtual_hosts": [
                        {
                          "name": "local_service",
                          "domains": [
                            "*"
                          ],
                          "routes": [
                            {
                              "match": {
                                "prefix": "/"
                              },
                              "route": {
                                "cluster": "local_service"
                              }
                            }
                          ]
                        }
                      ]
                    },
                    "http_filters": [
                      {
                        "name": "envoy.router"
                      }
                    ]
                  }
                }
              ]
            }
          ]
        }
      ]
    }
kind: ConfigMap
metadata:
  creationTimestamp: "2022-12-29T15:40:03Z"
  name: demoapp-confs
  namespace: default
  resourceVersion: "2182772"
  uid: a4cb8114-59b3-41eb-9db8-bb7068f76953

Pod

apiVersion: v1
kind: Pod
metadata:
  name: demoapp
  namespace: default
spec:
  containers:
  - name: proxy
    image: envoyproxy/envoy-alpine:v1.14.1
    command: ['/bin/sh','-c','envoy -c /etc/envoy/..data/envoy.yaml']
    volumeMounts:
    - name: appconfs # 挂载
      mountPath: /etc/envoy # 挂载路径，最终会出现 /etc/envoy/envoy.yaml 和 /etc/envoy/lds.conf
      readOnly: true
  - name: demo
    image: ikubernetes/demoapp:v1.0
    imagePullPolicy: IfNotPresent
    env:
    - name: PORT
      valueFrom:
        configMapKeyRef:
          name: demoapp-confs # 选择configMap的名称
          key: demoapp.port # 选择configMap中对应的key
          optional: false # 必选项
    - name: HOST
      valueFrom:
        configMapKeyRef:
          name: demoapp-confs
          key: demoapp.host
          optional: true # 可选项
  volumes:
  - name: appconfs # 定义
    configMap:
      name: demoapp-confs
      items: # 加载 demoapp-confs configMap 中的部分信息
      - key: envoy.yaml # 导出 demoapp-confs configMap 中的 envoy.yaml
        path: envoy.yaml
        mode: 0644
      - key: lds.conf # 导出 demoapp-confs configMap 中的 lds.conf
        path: lds.conf
        mode: 0644
      optional: false

验证

# kubectl get pods demoapp -o json
...
    "status": {
...
        "podIP": "10.244.1.153",
...


# kubectl get pods demoapp -o go-template={{.status.podIP}}
10.244.1.153


# curl -i $(kubectl get pods demoapp -o go-template={{.status.podIP}})
HTTP/1.1 200 OK
content-type: text/html; charset=utf-8
content-length: 94
server: envoy # envoy响应
date: Thu, 29 Dec 2022 15:49:07 GMT
x-envoy-upstream-service-time: 2

iKubernetes demoapp v1.0 !! ClientIP: 127.0.0.1, ServerName: demoapp, ServerIP: 10.244.1.153!



# curl -i $(kubectl get pods demoapp -o go-template={{.status.podIP}}):8080
HTTP/1.0 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 95
Server: Werkzeug/1.0.0 Python/3.8.2 # 自定义程序响应
Date: Thu, 29 Dec 2022 15:49:30 GMT

iKubernetes demoapp v1.0 !! ClientIP: 10.244.0.0, ServerName: demoapp, ServerIP: 10.244.1.153!


# kubectl exec demoapp -- ls -la /etc/envoy/
Defaulted container "proxy" out of: proxy, demo
total 12
drwxrwxrwx    3 root     root          4096 Dec 29 15:43 .
drwxr-xr-x    1 root     root          4096 Dec 29 15:43 ..
drwxr-xr-x    2 root     root          4096 Dec 29 15:43 ..2022_12_29_15_43_13.4125477581
lrwxrwxrwx    1 root     root            32 Dec 29 15:43 ..data -> ..2022_12_29_15_43_13.4125477581
lrwxrwxrwx    1 root     root            17 Dec 29 15:43 envoy.yaml -> ..data/envoy.yaml
lrwxrwxrwx    1 root     root            15 Dec 29 15:43 lds.conf -> ..data/lds.conf


# 定义的环境变量在不同容器间也会隔离
# kubectl exec demoapp -- env
Defaulted container "proxy" out of: proxy, demo
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
HOSTNAME=demoapp
KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
KUBERNETES_SERVICE_HOST=10.96.0.1
KUBERNETES_SERVICE_PORT=443
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_PORT=tcp://10.96.0.1:443
KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
KUBERNETES_PORT_443_TCP_PROTO=tcp
KUBERNETES_PORT_443_TCP_PORT=443
LANG=C.UTF-8
HOME=/root


# 定义的环境变量在不同容器间也会隔离
# kubectl exec demoapp -c demo -- env
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
HOSTNAME=demoapp
PORT=8080 #
HOST=0.0.0.0 #
KUBERNETES_PORT_443_TCP_PORT=443
KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
KUBERNETES_SERVICE_HOST=10.96.0.1
KUBERNETES_SERVICE_PORT=443
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_PORT=tcp://10.96.0.1:443
KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
KUBERNETES_PORT_443_TCP_PROTO=tcp
DEPLOYENV=Production
RELEASE=Stable
PS1=[\u@\h \w]\$ 
HOME=/root

范例：动态修改配置文件

ConfigMap 支持动态修改配置文件，修改配置文件的操作本质上是指向新的软链接
新的配置文件是否能对服务生效取决于服务本身是否支持动态读取配置文件或手动触发重读配置文件
注意：修改 ConfigMap 后，不会立刻生效，而是过一个随机时间周期后生效（错峰生效）

修改前

# ls -la /etc/nginx/conf.d/
total 12
drwxrwxrwx    3 root     root          4096 Sep 18 01:46 .
drwxr-xr-x    3 root     root          4096 Jul 18 23:43 ..
drwxr-xr-x    2 root     root          4096 Sep 18 01:46 ..2022_09_18_01_46_17.2998841080
lrwxrwxrwx    1 root     root            32 Sep 18 01:46 ..data -> ..2022_09_18_01_46_17.2998841080
lrwxrwxrwx    1 root     root            24 Sep 18 01:46 nginx-azheng.conf -> ..data/nginx-azheng.conf


# 访问测试
# curl -I 10.0.0.100:30080
HTTP/1.1 200 OK

修改

# vim wordpress.yaml
...
apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-confs
  namespace: wordpress
data:
  nginx-azheng.conf: |
    server {
      listen 80;
      server_name azheng.io;

      location / {
          root /var/www/html;
          index index.php;
          deny  all; # 添加此行
      }
....


# kubectl apply -f wordpress.yaml 
configmap/nginx-confs configured

修改后

# 指向了新的软链接时间戳
# ls -la /etc/nginx/conf.d/
total 12
drwxrwxrwx    3 root     root          4096 Sep 18 02:01 .
drwxr-xr-x    3 root     root          4096 Jul 18 23:43 ..
drwxr-xr-x    2 root     root          4096 Sep 18 02:01 ..2022_09_18_02_01_33.2246312080
lrwxrwxrwx    1 root     root            32 Sep 18 02:01 ..data -> ..2022_09_18_02_01_33.2246312080
lrwxrwxrwx    1 root     root            24 Sep 18 01:46 nginx-azheng.conf -> ..data/nginx-azheng.conf



# cat /etc/nginx/conf.d/nginx-azheng.conf 
server {
  listen 80;
  server_name azheng.io;

  location / {
      root /var/www/html;
      index index.php;
      deny  all; # 出现
  }
...


# 因为nginx不支持自动重载配置文件，所以需要手动使其重读配置文件
# nginx -s reload
2022/09/18 02:05:20 [notice] 52#52: signal process started


# curl -I 10.0.0.100:30080
HTTP/1.1 403 Forbidden

范例：torrc

torrc 的配置文件需要动态生成，因此需要一个 configmap的模板

TestingTorNetwork 1
AssumeReachable 1
PathsNeededToBuildCircuits 0.25
TestingDirAuthVoteExit *
TestingDirAuthVoteHSDir *
V3AuthNIntervalsValid 2

TestingDirAuthVoteGuard *
TestingMinExitFlagThreshold 0
Sandbox 1


RunAsDaemon 0
ConnLimit 60
ShutdownWaitLength 0
Log info stdout
ProtocolWarnings 1
SafeLogging 0
DisableDebuggerAttachment 0

Nickname dauviphoochi
DataDirectory /tor/dauviphoochi
Log notice file /tor/dauviphoochi/log
Address 10.200.66.129
AuthoritativeDirectory 1
V3AuthoritativeDirectory 1

TestingV3AuthInitialVotingInterval 60
V3AuthVotingInterval 10 minutes
TestingV3AuthInitialVoteDelay 5
V3AuthVoteDelay 5
TestingV3AuthInitialDistDelay 5
V3AuthDistDelay 5
OrPort 7000
Dirport 9030
ExitPolicy accept *:*
DirAuthority daohhufahuyo orport=7000 no-v2 v3ident=FD387687F41AB43116F453210A7A2028B9BE3B26 10.200.66.69:9030 03625695AED18BDD520B7F062BD53DAD03408BB7
DirAuthority dauviphoochi orport=7000 no-v2 v3ident=FD009655F9BCB6980A2B1C71C1573D065CA624BA 10.200.66.129:9030 50C3A445640C9C5528D09B2C2C88100EAA527905
DirAuthority daleeyaiphei orport=7000 no-v2 v3ident=D826BF64AF8B01DB1EEE9C3387AF5F7B20C88471 10.200.66.128:9030 7DC215ED69E649326B709D4897D3281821064E1D

downwardAPI

downwardAPI 概述

https://kubernetes.io/zh-cn/docs/concepts/workloads/pods/downward-api/

downwardAPI从严格意义上来说不是存储卷，因为它引用的是Pod自身的运行环境信息，这些信息在Pod启动后就存在。
downwardAPI类似于ConfigMap或Secret资源，容器能够在环境变量中在valueFrom字段中嵌套fieldRef或resourceFieldRef字段来引用其所属Pod对象的元数据信息。不过，通常只有常量类型的属性才能够通过环境变量注入到容器中，毕竟，在进程启动完成后无法再向其告知变量值的变动，于是，环境变量也就不支持中途的更新操作。

容器规范中可在环境变量配置中的valueFrom通过内嵌字段fieldRef引用的信息包括如下这些：

metadata.name # Pod对象的名称； 
metadata.namespace # Pod对象隶属的名称空间； 
metadata.uid # Pod对象的UID； 
metadata.labels['<KEY>'] # Pod对象标签中的指定键的值，例如metadata.labels['mylabel']，仅Kubernetes 1.9及之后的版本才支持；
metadata.annotations['<KEY>'] # Pod对象注解信息中的指定键的值，仅Kubernetes 1.9及之后的版本才支持。

容器上的计算资源需求和资源限制相关的信息，以及临时存储资源需求和资源限制相关的信息可通过容器规范中的resourceFieldRef字段引用，相关字段包括requests.cpu、limits.cpu、requests.memory和limits.memory等。另外，可通过环境变量引用的信息有如下几个：
- status.podIP # Pod对象的IP地址 spec.serviceAccountName # Pod对象使用的ServiceAccount资源名称 spec.nodeName # 节点名称 status.hostIP # 节点IP地址
另外，还可以通过resourceFieldRef字段引用当前容器的资源请求及资源限额的定义，因此它们包括requests.cpu、requests.memory、requests.ephemeral-storage、limits.cpu、limits.memory和limits.ephemeral-storage这6项。

downwardAPI Example

在 env.valueFrom 中通过 fieldRef 或 `` 来获取相关的信息，详参官方文档

通过环境变量暴露

yaml

fieldRef 从pod定义中的一般字段获取数据，resourceFieldRef 从pod定义中的资源限制获取数据。

apiVersion: v1
kind: Pod
metadata:
  name: downwardapi-env-demo
  labels:
    app: nginx
spec:
  containers:
    - name: nginx
      image: nginx:1.23.0-alpine
      resources:
        requests:
          memory: "32Mi"
          cpu: "250m"
        limits:
          memory: "64Mi"
          cpu: "500m"
      env:
        - name: THIS_POD_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: THIS_POD_NAMESPACE
          valueFrom:
            fieldRef:
              fieldPath: metadata.namespace
        - name: THIS_APP_LABEL
          valueFrom:
            fieldRef:
              fieldPath: metadata.labels['app'] # 选labels中app这个下标
        - name: THIS_CPU_LIMIT
          valueFrom:
            resourceFieldRef:
              resource: limits.cpu
        - name: THIS_MEM_REQUEST
          valueFrom:
            resourceFieldRef:
              resource: requests.memory
              divisor: 1Mi # 以M作为计量单位，否则将以字节显示

验证

# kubectl exec -it downwardapi-env-demo -- sh
/ # env
...
THIS_CPU_LIMIT=1 # cpu会取整数信息
THIS_APP_LABEL=nginx
THIS_MEM_REQUEST=32
THIS_POD_NAME=downwardapi-env-demo
THIS_POD_NAMESPACE=default
...

通过存储卷文件暴露

yaml

kind: Pod
apiVersion: v1
metadata:
  name: downwardapi-volume-demo
  labels:
    zone: zone1
    rack: rack100
    app: demoapp
  annotations:
    region: ease-cn
spec:
  containers:
    - name: demoapp
      image: ikubernetes/demoapp:v1.0
      resources:
        requests:
          memory: "32Mi"
          cpu: "250m"
        limits:
          memory: "64Mi"
          cpu: "500m"
      volumeMounts:
      - name: podinfo
        mountPath: /etc/podinfo
        readOnly: false
  volumes:
  - name: podinfo
    downwardAPI:
      defaultMode: 420
      items:
      - fieldRef:
          fieldPath: metadata.namespace
        path: pod_namespace
      - fieldRef:
          fieldPath: metadata.labels
        path: pod_labels
      - fieldRef:
          fieldPath: metadata.annotations
        path: pod_annotations
      - resourceFieldRef:
          containerName: demoapp
          resource: limits.cpu
        path: "cpu_limit"
      - resourceFieldRef:
          containerName: demoapp
          resource: requests.memory
          divisor: "1Mi"
        path: "mem_request"

验证

# kubectl exec -it downwardapi-volume-demo -- sh


# 仍然以软连接形式创建
[root@downwardapi-volume-demo ~]# ls -l /etc/podinfo/
total 0
lrwxrwxrwx    1 root     root            16 Sep 20 10:23 cpu_limit -> ..data/cpu_limit
lrwxrwxrwx    1 root     root            18 Sep 20 10:23 mem_request -> ..data/mem_request
lrwxrwxrwx    1 root     root            22 Sep 20 10:23 pod_annotations -> ..data/pod_annotations
lrwxrwxrwx    1 root     root            17 Sep 20 10:23 pod_labels -> ..data/pod_labels
lrwxrwxrwx    1 root     root            20 Sep 20 10:23 pod_namespace -> ..data/pod_namespace


[root@downwardapi-volume-demo ~]# cat /etc/podinfo/cpu_limit 
1
# cat /etc/podinfo/mem_request 
32
# cat /etc/podinfo/pod_labels 
app="demoapp"
rack="rack100"

实现 nginx 配置文件动态修改

实现前

默认 pod 中获取的是宿主机实际 cpu 的数量

emptyDir

emptyDir 概述

本地临时匿名存储卷，数据会随着容器的删除而删除；
可以借助于外部的高速磁盘或内存作为存储介质，为应用提供共享数据或高速缓存；
常用于一个 Pod 中的多个容器间共享数据。

参考文档：

https://kubernetes.io/zh-cn/docs/concepts/storage/volumes/#emptydir

emptyDir Explain

apiVersion: v1
kind: Pod
metadata:
  name: test-emptydir
  namespace: default
spec:
  containers:
  - name: test-container
    image: nginx-1.18-ubuntu:1.0
    imagePullPolicy: IfNotPresent
    volumeMounts:
    - name: emptydir # 引用pod级别存储卷的名称
      mountPath: /cache # 容器上的路径，不存在则会自动创建
  volumes: # 定义pod级别的存储卷
  - name: emptydir # 定义pod级别存储卷的名称
    #emptyDir: {} # 定义存储卷类型为emptyDir，{}表示使用默认值
    emptyDir:
      medium: Memory # 将内存定义为存储卷使用的空间，默认是使用磁盘作为存储空间
      sizeLimit: 16Mi # 限制使用的最大大小，默认占用宿主机50%的内存

emptyDir Example - 1

yaml

test-emptydir.yaml

apiVersion: v1
kind: Pod
metadata:
  name: test-emptydir
  namespace: default
spec:
  containers:
  - name: test-container
    image: nginx-1.18-ubuntu:1.0
    imagePullPolicy: IfNotPresent
    volumeMounts:
    - name: emptydir # 引用名称
      mountPath: /cache # 容器上的路径，不存在则会自动创建
      #readOnly:true # 是否只读，默认false
  volumes: # 定义pod级别的存储卷
  - name: emptydir # 定义名称
    #emptyDir: {} # 定义存储卷类型为emptyDir，{}表示使用默认值
    emptyDir:
      medium: Memory # 将内存定义为存储卷使用的空间，默认是使用磁盘作为存储空间
      sizeLimit: 16Mi # 限制使用的最大大小，默认不限制

Test

#创建
# kubectl apply -f test-emptydir.yaml
pod/test-emptydir created


#进入容器中并创建测试文件
# kubectl exec -it test-emptydir -- bash
nginx@test-emptydir:/$ echo 'hello k8s!' > /cache/test.txt



#查看pod被创建到哪个节点
# kubectl get pod -o wide 
NAME        READY   STATUS        RESTARTS   AGE     IP           NODE         NOMINATED NODE   READINESS GATES
...
test-pod    1/1     Running       0          6m25s   10.10.1.26   k8s-work-1   <none>           <none>


#来到被创建到的节点查找文件
root@k8s-work-1:~# find / -name test.txt
/var/lib/kubelet/pods/700f49ad-5419-473c-9a98-602ae6fe787b/volumes/kubernetes.io~empty-dir/cache-volume/test.txt
root@k8s-work-1:~# cat /var/lib/kubelet/pods/700f49ad-5419-473c-9a98-602ae6fe787b/volumes/kubernetes.io~empty-dir/cache-volume/test.txt
hello k8s!


#删除容器
# kubectl delete -f test-pod.yaml 
pod "test-pod" deleted


#卷也不复存在
root@k8s-work-1:~# cat /var/lib/kubelet/pods/700f49ad-5419-473c-9a98-602ae6fe787b/volumes/kubernetes.io~empty-dir/cache-volume/test.txt
cat: /var/lib/kubelet/pods/700f49ad-5419-473c-9a98-602ae6fe787b/volumes/kubernetes.io~empty-dir/cache-volume/test.txt: No such file or directory

emptyDir Example - 2

yaml

apiVersion: v1
kind: Pod
metadata:
  name: volumes-emptydir-demo
  namespace: default
spec:
  initContainers:
  - name: config-file-downloader
    image: ikubernetes/admin-box
    imagePullPolicy: IfNotPresent
    command: ['/bin/sh','-c','wget -O /data/envoy.yaml http://ilinux.io/envoy.yaml']
    volumeMounts: # 2：在初始化容器中挂载存储卷，此时从上面command中下载的envoy.yaml文件会被复制到存储卷中
    - name: config-file-storey
      mountPath: /data
  containers:
  - name: envoy
    image: envoyproxy/envoy-alpine:v1.13.1
    command: ['/bin/sh','-c']
    args: ['envoy -c /etc/envoy/envoy.yaml']
    volumeMounts: # 3：在主容器中挂载存储卷，因为初始化容器中事先挂载了存储卷，并且已经把envoy.yaml文件写入到了存储卷中，所以可以直接调用
    - name: config-file-store
      mountPath: /etc/envoy
      readOnly: true
  volumes: # 1：定义存储卷
  - name: config-file-store
    emptyDir:
      medium: Memory
      sizeLimit: 16Mi

—

通过 emptyDir 实现临时 Pod 中多个容器间数据共享

yaml

hsdir-sniper.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: hsdir-sniper
  namespace: test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: hsdir-sniper
  template:
    metadata:
      labels:
        app: hsdir-sniper
    spec:
      containers:
      - name: hsdir-sniper-bot
        image: 172.16.0.120:30002/hsdirsniper/hsdir_sniper_bot@sha256:f2495d6b108168b381c4a74a34e6e6174683f0e4ba9cbf317e86cbb8aaddff47
        imagePullPolicy: IfNotPresent
        command:
          - /bin/bash
        args:
          - '-c'
          - /root/hsdir_sniper/script/start_nsq_listen.sh && service cron start && tail -f /dev/null
        volumeMounts:
          - name: shared-data
            mountPath: /opt
      - name: logger-processor
        image: 172.16.0.120:30002/example-middleware/logger-processor@sha256:4d9c407e0966d849fb5301f73990a9927058fed45cb4b7a126b09b298b5326ec
        imagePullPolicy: IfNotPresent
        command:
          - /bin/bash
        args:
          - '-c'
          - tail -f /dev/null
        volumeMounts:
          - name: shared-data
            mountPath: /opt
      volumes:
        - name: shared-data
          emptyDir: {}

验证

进入第一个容器创建文件

# kubectl exec -it -n test hsdir-sniper-cccb75c6c-w5gvp -c hsdir-sniper-bot -- bash

# touch /opt/a.txt

进入第二个容器查看

# kubectl exec -it -n test hsdir-sniper-cccb75c6c-w5gvp -c logger-processor -- bash

# ls /opt/
a.txt

实际应用 yaml

hsdir-sniper.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: hsdir-sniper
  namespace: test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: hsdir-sniper
  template:
    metadata:
      labels:
        app: hsdir-sniper
    spec:
      containers:
      - name: hsdir-sniper-bot
        image: 172.16.0.120:30002/hsdirsniper/hsdir_sniper_bot@sha256:f2495d6b108168b381c4a74a34e6e6174683f0e4ba9cbf317e86cbb8aaddff47
        imagePullPolicy: IfNotPresent
        command:
          - /bin/bash
        args:
          - '-c'
          - /root/hsdir_sniper/script/start_nsq_listen.sh && service cron start && tail -f /dev/null
        volumeMounts:
          - name: hsdir-sniper-log
            mountPath: /root/hsdir_sniper/logfile/ # 
      - name: logger-processor
        image: 172.16.0.120:30002/example-middleware/logger-processor@sha256:4d9c407e0966d849fb5301f73990a9927058fed45cb4b7a126b09b298b5326ec
        imagePullPolicy: IfNotPresent
        command:
          - /bin/bash
        args:
          - '-c'
          - tail -f /dev/null
        volumeMounts:
          - name: hsdir-sniper-log
            mountPath: /root/hsdir_sniper/logfile/ # 
      volumes:
        - name: hsdir-sniper-log # 
          emptyDir: {}

apiVersion: apps/v1
kind: Deployment
metadata:
  name: hsdir-sniper
  namespace: test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: hsdir-sniper
  template:
    metadata:
      labels:
        app: hsdir-sniper
    spec:
      containers:
      - name: hsdir-sniper-bot
        image: ...
        volumeMounts:
          - name: hsdir-sniper-log
            mountPath: /root/hsdir_sniper/logfile/ # 
      - name: logger-processor
        image: ...
        volumeMounts:
          - name: hsdir-sniper-log
            mountPath: /root/hsdir_sniper/logfile/ # 
      volumes:
        - name: hsdir-sniper-log # 
          emptyDir: {}

apiVersion: apps/v1
kind: Deployment
metadata:
  name: hsdir-sniper
  namespace: test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: hsdir-sniper
  template:
    metadata:
      labels:
        app: hsdir-sniper
    spec:
      containers:
      - name: hsdir-sniper-bot
        image: ...
        volumeMounts:
          - name: torrc
            mountPath: /root/hsdir_sniper/logfile/ # 
      - name: logger-processor
        image: ...
        volumeMounts:
          - name: torrc
            mountPath: /root/hsdir_sniper/logfile/ # 
      volumes:
        - name: torrc # 
          emptyDir: {}

hostPath

hostPath 概述

Host 级持久卷，数据不会随着容器的删除而删除，而是持久存放在宿主机

应用场景：

采集宿主机的日志、

参考文档：

https://kubernetes.io/zh-cn/docs/concepts/storage/volumes/#hostpath

hostPath 注意事项

HostPath 卷可能会暴露特权系统凭据（例如 Kubelet）或特权 API（例如容器运行时套接字），可用于容器逃逸或攻击集群的其他部分。
具有相同配置（例如基于同一 PodTemplate 创建）的多个 Pod 会由于节点上文件的不同而在不同节点上有不同的行为。
下层主机上创建的文件或目录只能由 root 用户写入。你需要在特权容器中以 root 身份运行进程，或者修改主机上的文件权限以便容器能够写入 hostPath 卷。
为了安全考虑，当必须使用 HostPath 卷时，它的范围应仅限于所需的文件或目录，并以只读方式挂载即 readOnly: true
- 只读方式挂载其实是为了避免在容器中误操作导致宿主机的内容一同被删除
- 只读方式挂载如果宿主机不存在 volumes 定义的目录则会自动创建但无法往其中写入数据
- 但是有的时候以只读方式挂载有时会导致容器无法启动，所以可以选择将需要读写的目录进行读写挂载(比如日志目录)，其它不需要读写操作的目录进行只读挂载
- 范例：nginx全部目录以只读方式挂载报错如下，这时就可以单独将日志目录进行读写挂载
  - nginx: [alert] could not open error log file: open() "/var/log/nginx/error.log" failed (30: Read-only file system) 2022/07/25 01:51:16 [emerg] 1#1: open() "/var/log/nginx/error.log" failed (30: Read-only file system)

hostPath Explain

apiVersion: v1
kind: Pod
metadata:
  name: test-hostpath
spec:
  containers:
  - name: test-hostpath
    image: nginx-1.18-ubuntu:1.0
    volumeMounts:
    - name: hostpath # 引用pod级别存储卷的名称
      mountPath: /var/log/nginx # 容器上的路径，不存在则会自动创建
  volumes:
  - name: hostpath # 定义pod级别存储卷的名称
    hostPath: # 定义存储卷类型为hostPath
      path: /data/logs/nginx  # 宿主上的位置，不存在则会自动创建，也可以加下面的type进行判断
      #type: Directory # 默认在关联hostPath存储卷之前不进行任何检查（不检查文件或目录是否存在，以及文件类型为何）。

type

deployments.spec.template.spec.volumes.hostPath.type

local

local 概述

local 是将节点的本地存储空间当做PV 来进行使用
https://kubernetes.io/zh-cn/docs/concepts/storage/volumes/#local

PersistentVolume

PV 概述

持久卷 | Kubernetes

Persistent Volume 持久卷，简称 PV，集群级别资源
PV 是集群中的一块存储，通常由管理员事先供应，或者使用存储类（Storage Class）来动态供应
- 供应时，可以实现对存储的容量划分、读写访问权限控制等功能
PV 通常将 NFS、Ceph 等实际远程存储作为存储数据源
PV 可被 PVC 绑定

PV Explain

主要是定义PV的容量、访问模式和回收策略等属性。

apiVersion: v1
kind: PersistentVolume
metadata:
  name: pv-tmp
  labels:
    type: pv-tmp
  namespace: default # pv属于集群级别资源，虽然可以定义名称空间，但意义不大
spec:
  capacity: # 指定PV的容量
    storage: 100Gi # 向存储设备申请100G的空间
  accessModes: # 定义访问模式，可以定义多种，但PVC挂载时只能选择一种
    - ReadWriteOnce # 单路读写
  persistentVolumeReclaimPolicy: Retain # 定义持久卷回收策略
  nfs: # 定义具体的存储设备
    path: "/nfs_data/jenkins/jenkins-data"
    server: 10.0.0.103

accessModes

https://kubernetes.io/zh-cn/docs/concepts/storage/persistent-volumes/#access-modes

PersistentVolumeClaim

PVC 概述

Persistent Volume Claim 持久卷申请，简称 PVC，名称空间级别资源
PVC 由用户使用，由用户定义出存储消费需求，而后根据需求条件与现有各 PV 进行匹配检测，找出一个最佳的使用，并与之绑定，最终交给 Pod 来使用。
- Pod 是通过 PVC 将数据保存至 PV，PV 再保存至真实存储
- 一个 PVC 只能绑定(bound)一个 PV
- 另外，PV 与 PVC 二者要么都不属于任何StorageClass资源，要么属于同一个StorageClass资源，才能进行绑定

PVC Explain

定义PVC时，用户可通过访问模式（accessModes）、数据源（dataSource）、存储资源空间需求和限制（resources）、存储类、标签选择器、卷模型和卷名称等匹配标准来筛选集群上的PV资源

其中 resources 和 accessModes是最重的筛选标准

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: pvc-tmp
  namespace: default
spec:
  volumeName: pv-tmp # 直接指定要绑定的PV资源的名称(一般不定义，而是由定义的各种维度进行动态筛选)
  accessModes:
    - ReadWriteOnce # PVC的访问模式；它同样支持RWO、RWX和ROX三种模式
  resources: # 声明使用的存储空间的最小值和最大值(以选出合适的PV)；目前，PVC的资源限定仅支持空间大小一个维度
    requests:
      storage: 80Gi

accessModes

被筛选的PV也要同样支持此处定义的访问模式
PersistentVolumeClaim.spec.accessModes

dataSource

用于从指定的数据源恢复该PVC卷，它目前支持的数据源包括一个现在卷快照对象（snapshot.storage.k8s.io/VolumeSnapshot）、一个既有PVC对象（PersistentVolumeClaim）或一个既有的用于数据转存的自定义资源对象（resource/object）

Secret

Secret 概述

Secret ，名称空间级别资源；
Secret 可以理解为是 ConfigMap 的加密版，只不过实际上是将文本内容转换成 Base64 编码而非真正意义上的加密
ConfigMap 的配置信息基本没有类别之分，但 Secret 有类别之分：
- docker-registry、tls、generic（通用类型、子类型）
支持基于命令行方式管理 Secret，和 ConfigMap 类似，同样支持使用 --from-file= 从配置文件中读取信息或从 --from-literal= 中读取键值
Secret | Kubernetes

在 Kubernetes 中，Secrets 用于存储敏感信息，如密码、API 密钥和其他敏感数据。Secrets 提供了一种安全的方式将这些敏感信息传递给 Pod 中的容器。

Secret generic

通用类型，可以使用--type=定义子类型
kubectl create secret generic NAME [--type=string] [--from-file=[key=]source] [--from-literal=key1=value1] [--dry-run=server|client|none] [options]

Opaque

创建时如不使用--type定义子类型则默认为Opaque

范例：为 MySQL Pod 传递密码：

secret

# kubectl create ns mysql
namespace/mysql created

# kubectl create secret generic mysql-auth --from-literal=username=root --from-literal=password=PassW@rd -n mysql 
secret/mysql-auth created


# 创建时如不使用--type定义子类型则默认为Opaque
# kubectl get secrets -n mysql mysql-auth
NAME         TYPE     DATA   AGE
mysql-auth   Opaque   2      8s



# kubectl get secrets -n mysql mysql-auth -o yaml 
apiVersion: v1
data:
  password: UGFzc1dAcmQ= # 被转换成了base64编码格式
  username: cm9vdA==
kind: Secret
metadata:
  creationTimestamp: "2022-09-18T10:18:49Z"
  name: mysql-auth
  namespace: mysql
  resourceVersion: "177290"
  uid: bf583d73-d213-4a8c-9644-9e46adba1e5e
type: Opaque


# base64 解码
# echo "UGFzc1dAcmQ=" | base64 -d
PassW@rd
# echo "cm9vdA==" | base64 -d
root

Pod

apiVersion: v1
kind: Pod
metadata:
  name: mysql
  labels:
    name: mysql
  namespace: mysql
spec:
  containers:
  - name: mysql
    image: mysql:8.0.31
    imagePullPolicy: IfNotPresent
    env:
    - name: MYSQL_ROOT_PASSWORD
      valueFrom: 
        secretKeyRef:
          name: mysql-auth
          key: password
          optional: false

验证

# kubectl get pod -n mysql -o wide 
NAME    READY   STATUS    RESTARTS   AGE   IP             NODE         NOMINATED NODE   READINESS GATES
mysql   1/1     Running   0          43s   10.244.1.159   k8s-node-1   <none>           <none>


# mysql -h 10.244.1.159 -p"PassW@rd"
...
mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
| sys                |
+--------------------+
4 rows in set (0.01 sec)



# 密码不会在Pod清单中以明文方式显示
# kubectl get pod -n mysql -o yaml
...
  spec:
    containers:
    - env:
      - name: MYSQL_ROOT_PASSWORD
        valueFrom:
          secretKeyRef:
            key: password
            name: mysql-auth
            optional: false
...

basic-auth

专用于 basic 认证的子类型
--type="kubernetes.io/basic-auth"

rbd

为 ceph rbd 做认证的子类型
--type="kubernetes.io/rbd"

ssh-auth

使用 ssh 认证时的子类型
--type="kubernetes.io/ssh-auth"

token

kubeadm 的 bootstrap 所使用的 token 专用的类型，它通常保存于 kube-system 名称空间，以bootstrap-token-为前缀。