K8s Secret实战

Kubernetes Secret实战指南：敏感信息管理的安全之道

Secret是Kubernetes中管理敏感数据的瑞士军刀，但90%的团队都存在误用风险。本文将揭秘生产环境中Secret的正确使用姿势，助你避开安全陷阱。

---

一、Secret的三大核心使命

1. 敏感数据保险箱

   • 存储密码、API密钥、TLS证书等机密信息
   • 典型场景：
     • 数据库连接串（避免明文写在Deployment中）
     • 云服务Access Key（防止代码仓库泄露）
     • HTTPS证书（自动更新不中断服务）

2. 安全传输通道

   • 数据Base64编码存储（非加密！需配合加密方案）
   • 与Pod绑定后自动挂载，避免进程间传递风险
   • 审计日志自动脱敏（kubectl get secret不展示真实内容）

3. 动态配置中枢

   • 支持热更新（修改Secret后滚动更新Pod即可生效）
   • 多环境统一管理（通过kustomize差异化注入）

---

二、生产环境最佳实践

1. 基础使用示例
   场景：为MySQL Pod注入数据库密码

   # 创建Secret
   kubectl create secret generic mysql-cred \
     --from-literal=username=admin \
     --from-literal=password='S3cure!2023' \
     --dry-run=client -o yaml > mysql-secret.yaml
   

   # Pod挂载方式
   env:
   - name: MYSQL_ROOT_PASSWORD
     valueFrom:
       secretKeyRef:
         name: mysql-cred
         key: password
   

2. 进阶安全方案

   • 加密静态数据：

     # 启用etcd加密
     kube-apiserver --encryption-provider-config=encrypt.conf
     

     encrypt.conf示例：

     apiVersion: apiserver.config.k8s.io/v1
     kind: EncryptionConfiguration
     resources:
       - resources: ["secrets"]
         providers:
           - aescbc:
               keys:
                 - name: key1
                   secret: <base64-encoded-32-byte-key>
     

   • 细粒度权限控制：

     # 限制开发组只能读取test命名空间的Secret
     kind: Role
     apiVersion: rbac.authorization.k8s.io/v1
     metadata:
       namespace: test
       name: secret-reader
     rules:
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["get", "list"]
     

3. CI/CD集成技巧

   • GitOps安全方案：
     1. 将加密后的Secret存入Git仓库
     2. 在集群使用SealedSecret解密

     apiVersion: bitnami.com/v1alpha1
     kind: SealedSecret
     metadata:
       name: aws-keys
     spec:
       encryptedData:
         access-key: AgBy3i4OJSWK+PiTySYZZA9rO43cGDEq...
     

   • 密钥轮换策略：
     使用Cert-Manager自动更新TLS证书：

     apiVersion: cert-manager.io/v1
     kind: Certificate
     metadata:
       name: https-cert
     spec:
       secretName: https-cert
       renewBefore: 360h # 提前15天续期
       issuerRef:
         name: letsencrypt-prod
       dnsNames:
       - "*.yourdomain.com"
     

---

三、安全加固指南

1. 防护等级表

安全级别	措施	适用场景
L1	基础Secret	内部测试环境
L2	etcd静态加密 + RBAC	预发布环境
L3	外部密钥管理（Vault等）	生产环境
L4	硬件安全模块（HSM）	金融级安全要求

2. 审计与监控

   • 记录Secret访问日志：

     # 启用审计日志
     kube-apiserver --audit-log-path=/var/log/kubernetes/audit.log
     

   • 关键监控指标：
     • secret_update_count（异常变更检测）
     • secret_access_denied（权限异常监控）

3. 灾难恢复方案

   • 定期备份Secret：

     kubectl get secrets -A -o yaml > all-secrets-$(date +%F).yaml
     

   • 使用Velero实现加密备份：

     velero backup create secrets-backup --include-resources secrets
     

---

四、避坑指南：7大常见错误

1. 致命误区

   • ❌ 将Secret当ConfigMap用（日志中可能泄露）
   • ❌ 用环境变量传递大凭证（Linux环境变量有长度限制）
   • ❌ 使用默认ServiceAccount访问Secret（权限过大）

2. 典型故障排查

   • Pod报错"permission denied"：
     • 检查Secret挂载路径的文件权限
     • 确认Pod所在namespace有Secret访问权限
   • Secret更新未生效：
     • 检查是否启用kubectl rollout restart deploy
     • 确认应用是否缓存旧值（如Java应用需重启JVM）

---

五、企业级方案选型

1. 自建方案

   • KMS插件：集成云厂商密钥管理服务（AWS KMS/Azure Key Vault）
   • 证书管理：Cert-Manager + Let's Encrypt自动签发

2. 第三方工具

   • HashiCorp Vault：提供动态密钥、租赁机制
   • AWS Secrets Manager：无缝集成云服务
   • Google Secret Manager：原生GCP生态支持

---

结语

Secret是Kubernetes安全体系的守门人，但安全从来不是单一工具能解决的问题。建议生产环境至少达到L2防护等级，结合RBAC、网络策略、审计日志形成纵深防御体系。对于敏感程度高的数据，务必采用外部密钥管理系统，并定期进行渗透测试。