Kubernetes - 它在哪里存储 secret 以及如何在多个节点上使用这些 secret ？

Question

不是一个真正的编程问题，但很想知道 Kubernetes 或 Minikube 如何管理 secret 并在多个节点/pod 上使用它？

假设我创建了一个 secret 来使用 kubectl 提取图像如下 -

$ kubectl create secret docker-registry regsecret --docker-server=https://index.docker.io/v1/ --docker-username=$USERNM --docker-password=$PASSWD --docker-email=vivekyad4v@gmail.com

后端会发生哪些进程，k8s 或 Minikube 将如何在多个节点/pod 上使用这些进程？

Answer 1

Kubernetes 中的所有数据都由 API Server 管理。对数据存储执行 CRUD 操作的组件(当前唯一的选项是 etcd )。

当您提交 secret与 kubectl到API Server它将资源和数据存储在 etcd .建议在 API 服务器中启用 secret 加密(通过设置正确的标志)，以便数据在静态时加密，否则任何有权访问 etcd 的人将能够阅读您的secrets纯文本。

当secret需要安装在 Pod 中或者在您从私有(private)注册表中提取 Docker 镜像的示例中，它是从 API Server 请求的。由节点本地 kubelet并保存在 tmpfs所以它永远不会触及任何未加密的硬盘。

在这里，另一个安全建议开始发挥作用，称为节点授权(再次通过设置正确的标志并将证书分发到 API Server 和 Kubelets 来设置)。启用节点授权后，您可以确保 kubelet只能请求要在该特定节点上运行的资源(包括 secrets )，因此被黑节点只会公开该单个节点上的资源，而不是所有内容。