使用Helm图表不能从Rancher部署访问私有注册表

Question

我可以在Resources->Registrys中定义azure注册表凭据并对其进行身份验证以创建工作负载。（工作负载访问私有azure注册表，并使用凭据集对其进行身份验证）

现在，如果我创建一个Helm图表，访问同一个私有Azure注册表来提取映像并创建一个pod，它会失败，表示无法提取docker映像。我对此进行了研究，发现K8s部署可以找到Rancher UI中设置的凭据，但kublet没有访问该凭据的权限。

人们通常给出的建议是使用help chart部署文件中的秘密，这也是可行的，但这是一个安全问题，因为任何人都可以访问helm chart来查找其中描述的azure凭据。我觉得这在Rancher V2中仍然是一个常见的问题。

我不确定Rancher community是否也有答案，因为helm repo也提出了同样的解决方案。请参阅(https://github.com/helm/helm/blob/master/docs/charts_tips_and_tricks.md#creating-image-pull-secrets)

我不想在下面提到的Helm chart的deployement.yaml文件中定义映像拉取机密

  name: credentials-name
  registry: private-docker-registry
  username: user
  password: pass

Answer 1

当您在当前项目中的Resources->Registrys下配置一组新的注册表凭据时，Rancher会为您创建一个Kubernetes秘密资源，它持有指定的凭据。

您可以通过运行以下命令来验证秘密是否存在于属于项目的所有命名空间中：

$ kubectl get secrets -n <some-project-namespace>

然后--而不是在部署中持久化明文帐户凭据--您将引用容器规范中的秘密资源，如下所示：

spec:
  containers:
  - name: mycontainer
    image: myregistry.azurecr.io/org/myimage
  imagePullSecrets:
  - name: project-azure-reg-creds