Docker中env-file的Kubernetes等价

Question

背景：

目前我们正在使用Docker和Docker Compose为我们的服务。我们已经将不同环境的配置外部化到定义应用程序读取的环境变量的文件中。例如prod.env文件：

ENV_VAR_ONE=Something Prod
ENV_VAR_TWO=Something else Prod

和test.env文件：

ENV_VAR_ONE=Something Test
ENV_VAR_TWO=Something else Test

因此，在启动容器时，我们可以简单地使用prod.env或test.env文件：

docker run --env-file prod.env <image>

然后，我们的应用程序根据prod.env中定义的环境变量获取其配置。

问题：

1. 有没有办法从Kubernetes中的文件中提供环境变量（例如定义pod时），而不是像这样硬编码它们:

apiVersion: v1
kind: Pod
metadata: 
  labels: 
    context: docker-k8s-lab
    name: mysql-pod
  name: mysql-pod
spec: 
  containers: 
    - 
      env: 
        - 
          name: MYSQL_USER
          value: mysql
        - 
          name: MYSQL_PASSWORD
          value: mysql
        - 
          name: MYSQL_DATABASE
          value: sample
        - 
          name: MYSQL_ROOT_PASSWORD
          value: supersecret
      image: "mysql:latest"
      name: mysql
      ports: 
        - 
          containerPort: 3306

Answer 1

Kubernetes(v1.6)的一个新更新允许您（多年前）所要求的内容。

现在可以在yaml文件中使用envfrom，如下所示：

  containers:
  - name: django
    image: image/name
    envFrom:
      - secretRef:
         name: prod-secrets

当开发秘密是您的秘密时，您可以通过以下方法创建它：

kubectl create secret generic prod-secrets --from-env-file=prod/env.txt`

其中txt文件内容是键值：

DB_USER=username_here
DB_PASSWORD=password_here

这些文档仍然是一大堆例子，我不得不在这些地方苦苦搜索：

• 机密文档，搜索envfrom-显示此选项可用。
• 等效的configmap文档显示了如何使用它的示例。

Answer 2

您可以通过使用Secret或ConfigMap填充容器的环境变量。当您正在处理的数据是敏感的（例如密码）时使用Secrets，当不敏感时使用ConfigMaps。

在Pod定义中，指定容器应该从一个秘密中提取值：

apiVersion: v1
kind: Pod
metadata: 
  labels: 
    context: docker-k8s-lab
    name: mysql-pod
  name: mysql-pod
spec: 
  containers:
  - image: "mysql:latest"
    name: mysql
    ports: 
    - containerPort: 3306
    envFrom:
      - secretRef:
         name: mysql-secret

请注意，此语法仅在Kubernetes1.6或更高版本中可用。在早期版本的Kubernetes上，您必须手动指定每个值，例如：

env: 
- name: MYSQL_USER
  valueFrom:
    secretKeyRef:
      name: mysql-secret
      key: MYSQL_USER

（注意env将数组作为值）

并为每个值重复。

无论使用哪种方法，现在都可以定义两个不同的秘密，一个用于生产，一个用于开发。

dev-secret.yaml：

apiVersion: v1
kind: Secret
metadata:
  name: mysql-secret
type: Opaque
data:
  MYSQL_USER: bXlzcWwK
  MYSQL_PASSWORD: bXlzcWwK
  MYSQL_DATABASE: c2FtcGxlCg==
  MYSQL_ROOT_PASSWORD: c3VwZXJzZWNyZXQK

prod-secret.yaml：

apiVersion: v1
kind: Secret
metadata:
  name: mysql-secret
type: Opaque
data:
  MYSQL_USER: am9obgo=
  MYSQL_PASSWORD: c2VjdXJlCg==
  MYSQL_DATABASE: cHJvZC1kYgo=
  MYSQL_ROOT_PASSWORD: cm9vdHkK

并将正确的机密部署到正确的Kubernetes集群：

kubectl config use-context dev
kubectl create -f dev-secret.yaml

kubectl config use-context prod
kubectl create -f prod-secret.yaml

现在，每当一个Pod启动时，它就会从secret中指定的值填充它的环境变量。