在Open Telemetry Collector中使用OTEL\u EXPORTER\u OTLP\u标头以避免ConfigMap中的机密

Question

我有一个库伯内特斯集群，其中有一个pod运行一个开放遥测收集器实例。

我的Kubernetes内部的Net app将跟踪导出到收集器实例，收集器实例又将跟踪导出到Elastic APM服务器。如果我将此配置（此处描述）用于我的收集器实例，则此配置将正常工作：

exporters:
  otlp/elastic:
      endpoint: "xxx.elastic-cloud.com:443"
      headers:
          Authorization: "Bearer your-apm-secret-token"

为了在Kubernetes中工作，我在ConfigMap中设置了此配置。这工作正常，但问题是这需要我在ConfigMap中添加一个我想要避免的秘密。

为了避免这种情况，我看到可以添加一个OTEL\u EXPORTER\u OTLP\u HEADERS环境变量，该变量将由EXPORTER使用。然后可以通过容器中的环境变量传递秘密（这不是一个完美的解决方案，但对我来说还可以）。此功能似乎是由不同的OpenTelemetry SDK（Net、Java、Python等）实现的但如果我尝试使用环境变量技巧，它似乎对收集器不起作用。

你知道我该怎么和收藏家一起做吗？或者其他任何避免将机密传递给ConfigMap的技巧？

Answer 1

OpenTelemetry Collector出现了一个问题，这将解决我主要关心的在环境变量中使用机密的问题。

在此之前，本期的作者建议将环境变量扩展机制作为一种解决方法。

因此，如果您将令牌放在环境变量ELASTIC\u APM\u token中，那么您可以在ConfigMap中引用它，如下所示：

exporters:
  otlp/elastic:
      endpoint: "xxx.elastic-cloud.com:443"
      headers:
          Authorization: "Bearer $ELASTIC_APM_TOKEN"

在应用配置之前，收集器将使用环境变量中的值替换$ELASTIC\u APM\u令牌。