kubernetes - 开放式/kubernetes : map serviceaccount secret to an environment variable

Question

有没有办法将服务帐户 secret 内容填充到环境变量中？

示例:当一个 pod 启动时，它包含一个 /var/run/secrets/kubernetes.io/secrets/serviceaccount/ 文件夹，其中包含 token，ca.crt... 以及其他将 serviceaccount sercret 映射到文件夹的结果。

有没有办法将 serviceaccountsecret.token 映射到环境变量？

编辑

我正在使用 fabric8 maven 插件部署 kubernetes/openshift 对象。尽管如此，我一直在寻找一种在 PodSpec 上设置此信息的方法。

因此，目前 openshift/kubernetes 正在将位于 secrets 中的服务帐户信息映射到 secrets，然后它会自动映射到文件系统 (`/var/run...)。

我正在寻找一种方法将这个“未知”服务帐户密码映射到环境变量(我的意思是，当我创建 PodSpec 时，我不知道这个密码的名称是什么)。

$ oc get secrets
NAME                       TYPE                                  DATA      AGE
builder-dockercfg-hplx4    kubernetes.io/dockercfg               1         43m
builder-token-bkd8h        kubernetes.io/service-account-token   4         43m
builder-token-gpckp        kubernetes.io/service-account-token   4         43m
default-dockercfg-q2vpx    kubernetes.io/dockercfg               1         43m
default-token-hpr7l        kubernetes.io/service-account-token   4         43m
default-token-r5225        kubernetes.io/service-account-token   4         43m
deployer-dockercfg-6h7nw   kubernetes.io/dockercfg               1         43m
deployer-token-svmvf       kubernetes.io/service-account-token   4         43m
deployer-token-tmg9x       kubernetes.io/service-account-token   4         43m
vault-cert                 kubernetes.io/tls                     2         42m 

如您所见，openshiftshift/kubernetes 创建了与每个​​服务帐户相关的 secret :

$ oc get sa
NAME       SECRETS   AGE
builder    2         44m
default    2         44m
deployer   2         44m

每个 secret 的形式如下:

$ oc describe secret default-token-hpr7l
Name:         default-token-hpr7l
Namespace:    ra-sec
Labels:       <none>
Annotations:  kubernetes.io/created-by=openshift.io/create-dockercfg-secrets
              kubernetes.io/service-account.name=default
              kubernetes.io/service-account.uid=82ae89d7-898a-11e8-8d35-f28ae3e0478e

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:          1070 bytes
namespace:       6 bytes
service-ca.crt:  2186 bytes
token:           eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJyYS1zZWMiLCJrdWJlcm5ldGVzLmlvL3Nl...

每个 secret 都会自动映射到文件系统。不过，我想写入 PodSpec:

env:
- name: KUBERNETES_TOKEN
  valueFrom:
    secretKeyRef:
      name: <unknown service account secret name>
      key: token

我希望我解释得更好一些。

Answer 1

您可以创建一个带有 kubernetes.io/service-account.name 注释的 secret。

该注解提供当前secret的相关服务账号信息。

apiVersion: v1
kind: Secret
metadata:
  name: vault-auth-secret
  annotations:
    kubernetes.io/service-account.name: vault-auth
type: kubernetes.io/service-account-token

通过这种方式，您可以使用所需数据创建命名 secret 。

- name: KUBERNETES_TOKEN
  valueFrom:
    secretKeyRef:
      name: vault-auth-secret
      key: token