kubernetes - 使用 kustomize 直接从 gcloud secrets manager 中查找 secret 作为 secretGenerator

Question

我正在使用 kubectl -k (kustomize) 设置我的 Kubernetes 集群。像任何其他此类安排一样，我在部署期间依赖于一些 secret 。我想走的路线是使用 kustomize 的 secretGenerator 功能从文件或环境变量中获取我的 secret 。

然而，以安全和可移植的方式管理上述文件或环境变量本身就是一项挑战。特别是因为我有 3 个单独的命名空间用于测试、阶段和生产，每个命名空间都需要一组不同的 secret 。

所以我想肯定有一种方法可以让我以我的云提供商的官方方式(谷歌云平台 - secret 管理器)来管理 secret 。

那么访问存储在 secret 管理器中的 secret 的secretGenerator会是什么样子呢？

我天真的猜测是这样的:

secretGenerator:
 - name: juicy-environment-config
   google-secret-resource-id: projects/133713371337/secrets/juicy-test-secret/versions/1
   type: some-google-specific-type

• 这有可能吗？
• 这个例子会是什么样子？
• 记录在哪里？
• 如果这不可能，我有什么选择？

Answer 1

我不知道有那个插件。 Kustomize 中的插件系统有点新(大约 6 个月前添加)，因此目前还没有大量的插件系统，而 Secrets Manager 才推出几周。您可以在 https://github.com/kubernetes-sigs/kustomize/tree/master/docs/plugins 找到文档虽然写了一个。它链接到一些用于 secret 管理的 Go 插件，因此您可以使用其中一个插件并将其修改为 GCP API。