Kubernetes-在预安装作业上使用机密

Question

在我的helm chart中，我有一个pre-install钩子的工作，在这个钩子上我需要使用我的secrets中的一个属性。但是，当我尝试安装舵机图时，我的预安装作业出现以下错误：

错误：未找到机密“SecretsFileName”

null

apiVersion: batch/v1
kind: Job
metadata:
  name: "MyPodName"
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": before-hook-creation,hook-succeeded
  #some more code
spec:
  template:
    #some more code
    spec:
      dnsPolicy: {{ .Values.specPolicy.dnsPolicy }}
      restartPolicy: {{ .Values.specPolicy.restartPolicy }}
      volumes:
        - name: {{ .Values.volume.name }}
          persistentVolumeClaim:
            claimName: {{ .Values.volume.claimName }}
      securityContext:
        {{- toYaml .Values.securityContext | nindent 8 }}
      containers:
        - name: "MyContainerName"
          #some more code
          env:
            - name: SECRET_TO_USE
              valueFrom:
                secretKeyRef:
                  name: SecretsFileName
                  key: PROP_FROM_SCRETS
          #some more code

我的机密文件：

apiVersion: v1
kind: Secret
metadata:
  name: "SecretsFileName"
  labels:
    app: "MyAppName"
    #some more code
type: Opaque
data:
    PROP_FROM_SCRETS: eHB0bw==

Answer 1

虽然Helm钩子通常是作业，但并不要求它们是作业，而且Helm也不会对钩子对象的内容进行任何分析，以了解它可能依赖的其他内容。如果你通读了那里描述的安装序列，它是（7）安装标记为钩子的东西，(8)等待那些准备好，然后（9）安装所有其他的东西；在安装它所依赖的秘密之前，它会等待作业完成。

那么，第一个答案是，您还需要将您的Secret标记为一个钩子，以便在预装阶段安装它，并修改其重量，以便在主作业之前安装它（较小的重量数字发生得更早）：

apiVersion: v1
kind: Secret
annotations:
  "helm.sh/hook": pre-install
  "helm.sh/hook-weight": "-5"

下一个问题是这个秘密何时被删除。文档注意到helm uninstall不会删除钩子资源；您需要添加一个单独的helm.sh/hook-delete-policy注释，否则它将一直保留到下次计划运行钩子时。在我看来，这意味着如果您修改秘密（或组成它的值）并升级（而不是删除和重新安装）图表，秘密将不会得到更新。

我可能只创建两个秘密副本，一个在预装时有用，一个在主图表生命周期中有用。您可以创建一个模板来呈现Secret body,然后调用两次：

{{- define "secret.content" -}}
type: Opaque
data:
    PROP_FROM_SCRETS: eHB0bw==
{{- end -}}
---
apiVersion: v1
kind: Secret
metadata:
  name: "SecretsFileName"
  labels:
    app: "MyAppName"
{{ include "secret.content" . }}
---
apiVersion: v1
kind: Secret
metadata:
  name: "SecretsFileName-preinst"
  labels:
    app: "MyAppName"
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-weight": "-5"
    "helm.sh/hook-delete-policy": hook-succeeded
{{ include "secret.content" . }}