在configmap中使用kubernetes机密

Question

我正在库伯内特斯集群上使用Helm，并安装了稳定的Rabbitmq-ha图表。我想从Logstash将数据推送到Rabbitmq中的交换。我正在尝试使用logstash稳定图表。

rabbitmq ha图表创建了一个包含连接密码的密码。我希望能够获得该密码并将其包含在logstash配置中，以便logstash可以连接到该密码。

logstash的ConfigMap是使用值文件中的项进行模板化的。

  outputs:
    main: |-
      output {
        rabbitmq {
          exchange => "exchange_name"
          exchange_type => "fanout"
          host => "rabbitmq-ha.default.svc.cluster.local"
          password => "????"
        }
      }

我不想在值文件中硬编码密码，因为这对安全性没有好处，这意味着要为每个环境复制配置。我找不到让logstash从环境变量读取密码的方法。

人们通常是如何做到这一点的？

我可以使用helm secrets存储整个输出配置，并包括硬编码密码。这样可以避免在我的存储库中使用纯文本密码，但仍然不是最好的方式。

Answer 1

事实证明，至少从logstash的5.0版开始，就可以让logstash从环境变量中读取值。https://www.elastic.co/guide/en/logstash/current/environment-variables.html

所以我的价值观文件可以看起来像

  outputs:
    main: |-
      output {
        rabbitmq {
          exchange => "exchange_name"
          exchange_type => "fanout"
          host => "rabbitmq-ha.default.svc.cluster.local"
          password => "${RMQ_PASSWORD}"
        }
      }

logstash图表允许使用extranv值将环境变量添加到状态集。extraEnv允许值来自机密。

  extraEnv:
    - name: RMQ_PASSWORD
      valueFrom:
        secretKeyRef:
          name: rabbitmq-ha
          key: rabbitmq-password