Kubernetes ConfigMap 与 Secret 最佳实践

一、动态更新配置不重启 Pod

1. 卷挂载热更新机制
   将 ConfigMap/Secret 挂载为卷（Volume），而非环境变量。当源数据更新时：

   • Kubernetes 自动更新卷内文件（约 1-2 分钟延迟）
   • 应用程序需监听文件变化并重载配置
   • 避免使用 subPath：它会阻止自动更新

   volumes:
     - name: config-volume
       configMap:
         name: app-config
   containers:
     volumeMounts:
       - name: config-volume
         mountPath: /etc/config
   

2. 应用层配置重载方案

   • 文件监听：应用实现文件系统监听（如 Python watchdog，Java commons-configuration）
   • 信号触发：通过 Sidecar 容器发送信号（如 SIGHUP）通知主进程重载
   • API 轮询：应用直接调用 Kubernetes API 监听 ConfigMap 变更

3. Reloader 工具链
   使用开源组件实现自动触发：

   • Stakater Reloader：监控 Annotation 变更自动滚动 Pod

   annotations:
     reloader.stakater.com/auto: "true"
   

   • Configmap-reload：Prometheus 生态的轻量级文件监听容器

二、敏感信息加密存储方案

1. 静态加密（At-Rest Encryption）

   • 启用 etcd 加密：配置 API Server 使用 AES-CBC 或 AES-GCM 加密

     apiVersion: apiserver.config.k8s.io/v1
     kind: EncryptionConfiguration
     resources:
       - resources: ["secrets"]
         providers:
           - aescbc:
               keys: [{name: key1, secret: <base64-encoded-key>}]
     

   • 云平台集成：AWS KMS、GCP Cloud KMS、Azure Key Vault 提供托管密钥

2. 传输层加密（In-Transit）

   • 强制启用 TLS 1.3
   • 使用 NetworkPolicy 限制 Secret 访问范围
   • Service Account 绑定最小 RBAC 权限

3. 运行时保护

   • 避免环境变量注入：防止通过 env 暴露，优先使用卷挂载
   • 内存锁定：应用使用 mlock() 防止 Secret 交换到磁盘
   • 定期轮换：通过自动化工具更新 Secret 并滚动 Pod

4. 高级加密方案

   方案	适用场景	工具示例
   信封加密	高安全要求	Sealed Secrets
   外部保管库	跨集群管理	HashiCorp Vault + CSI Driver
   硬件加密	合规场景	HSM 集成

三、联合实践示例

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      volumes:
        - name: secret-volume
          csi:
            driver: secrets-store.csi.k8s.io
            readOnly: true
            volumeAttributes:
              secretProviderClass: "vault-database-creds"
      containers:
        - name: app
          volumeMounts:
            - name: secret-volume
              mountPath: "/mnt/secrets"
              readOnly: true
          lifecycle:
            postStart:
              exec:
                command: ["/bin/sh", "-c", "touch /reload.trigger"]  # 触发重载信号

关键检查清单：

1. 审计所有 Secret 访问日志
2. 禁用 ConfigMap 中的敏感数据
3. 使用 kubectl view-secret 等工具避免本地暴露
4. 定期执行 kube-bench 安全扫描
5. 通过 OPA/Gatekeeper 实施加密策略约束

通过结合动态挂载更新机制、多层加密防护和自动化轮换，可在保障安全性的同时实现零停机配置更新。实际实施时需根据应用架构选择匹配的重载策略，并始终遵循最小权限原则。