Kubernetes之Projected Volume

目录

四种Projected Volume

Secret

使用方法

应用场景

示例

ConfigMap

使用方法

应用场景

示例

Downward API

使用方法

应用场景

示例

ServiceAccountToken

使用方法

应用场景

示例

        在 Kubernetes 中,有几类特殊的 Volume,它们存在的意义不是为了存放容器里的数据,也不是用来进行容器和宿主机之间的数据交换。这些特殊 Volume 的作用是为容器提供预先定义好的数据。从容器的角度来看,这些 Volume 里的信息就好像是被 Kubernetes "投射"(Project)进入容器当中的,这就是 Projected Volume 的含义。   

四种Projected Volume

Secret：用于存储敏感信息，如密码、OAuth 令牌、SSH 密钥等，以防止这些信息被暴露在 Pod 的配置中或者存储在容器镜像里。

ConfigMap：用于存储非敏感信息，如配置文件、命令行参数等，使得应用配置可以从镜像内容中解耦，提高灵活性和可维护性。

Downward API：允许容器访问 Pod 本身的信息（如 Pod 名称、命名空间、IP 地址等），使容器能够更好地了解自己的运行环境。

ServiceAccountToken：提供对 Kubernetes API 的访问令牌，允许容器内的应用程序与 Kubernetes API 交互，进行自动化管理操作。（严格来说算是Secret的一种）

        这些类型的投射数据卷对于保护敏感信息、配置管理、自动化运维等场景至关重要。相比于通过环境变量传递信息，使用投射数据卷的方式能够更安全、更灵活地管理这些信息，并且支持自动更新，大大提高了云原生应用的可维护性和可扩展性。

Secret

        Secret 是 Kubernetes 用来保存敏感数据的一种资源对象,例如密码、OAuth Token、SSH 密钥等。将这些敏感信息放到 Secret 中比直接放到 Pod 定义或 Docker 镜像中要更加安全和灵活。

使用方法

Secret 可以通过 Volume 或者环境变量的方式使用,以 Volume 方式使用的例子如下，

在这个例子中,Secret mysecret 被挂载到容器的 /etc/foo 目录,容器内的应用可以通过读取 /etc/foo 目录下的文件来获取 Secret 的内容。:

apiVersion: v1
kind: Pod
metadata:name: mypod
spec:containers:- name: mypodimage: redisvolumeMounts:- name: foomountPath: "/etc/foo"readOnly: truevolumes:- name: foosecret:secretName: mysecret

应用场景

  • 保存数据库连接字符串、用户名密码等敏感信息。
  • 保存 SSL/TLS 证书信息。
  • 保存 API Token、OAuth Token 等认证信息。


示例

使用 Secret 存储数据库用户名密码：
1、首先使用 kubectl 命令创建一个 Secret:

kubectl create secret generic mysql-auth --from-literal=username=admin --from-literal=password='S!B\*d$zDsb='

2、在 Pod 中使用这个 Secret

apiVersion: v1
kind: Pod
metadata:name: mysql-client
spec:containers:- name: mysql-clientimage: mysql:5.7env:- name: MYSQL_USERNAMEvalueFrom:secretKeyRef:name: mysql-authkey: username- name: MYSQL_PASSWORDvalueFrom:secretKeyRef:name: mysql-authkey: passwordcommand: ["mysql", "-u$(MYSQL_USERNAME)", "-p$(MYSQL_PASSWORD)"]  

        MySQL 客户端就可以使用 Secret 中存储的用户名密码连接数据库了,而不需要将这些敏感信息硬编码到应用代码或配置文件中。

ConfigMap

        ConfigMap 是 Kubernetes 用来存储应用配置信息的资源对象。它可以存储环境变量、命令行参数或者配置文件等数据,这些数据可以被 Pod 中的容器使用。使用 ConfigMap 可以将应用的配置信息与容器镜像解耦,便于应用配置的修改和管理。

使用方法

与 Secret 类似,ConfigMap 也可以通过 Volume 或环境变量的方式在 Pod 中使用,以 Volume 方式使用的例子如下:

这个例子中,ConfigMap special-config 被挂载到容器的 /etc/config 目录,容器内可以通过读取 /etc/config 目录下的文件来获取 ConfigMap 的内容。

apiVersion: v1
kind: ConfigMap
metadata:name: special-confignamespace: default
data:special.level: veryspecial.type: charm
---
apiVersion: v1
kind: Pod
metadata:name: dapi-test-pod
spec:containers:- name: test-containerimage: registry.k8s.io/busyboxcommand: [ "/bin/sh", "-c", "ls /etc/config/" ]volumeMounts:- name: config-volumemountPath: /etc/configvolumes:- name: config-volumeconfigMap:name: special-configrestartPolicy: Never


 

应用场景

  • 存储应用的环境变量配置,如 JVM 参数、日志级别等。
  • 存储应用的配置文件,如 nginx 配置、redis 配置等。
  • 存储部署相关的元数据,如应用的版本号、Git Commit ID 等。


示例

使用 ConfigMap 存储 nginx 配置
1、首先创建一个包含 nginx 配置的 ConfigMap:

apiVersion: v1
kind: ConfigMap
metadata:name: nginx-config
data:nginx.conf: |user nginx;worker_processes  1;events {worker_connections  10240;}http {server {listen       80;server_name  localhost;location / {root   /usr/share/nginx/html;index  index.html index.htm;}}}

2、在 nginx 的 Pod 中使用这个 ConfigMap:

apiVersion: v1
kind: Pod
metadata:name: nginx
spec:containers:- name: nginximage: nginx:1.7.9ports:- containerPort: 80volumeMounts:- name: configmountPath: /etc/nginxvolumes:- name: configconfigMap:name: nginx-configitems:- key: nginx.confpath: nginx.conf

        这样,nginx 容器启动时就会加载 ConfigMap 中的配置文件,无需将配置文件打包到镜像中,非常方便进行配置管理。同时由于配置与镜像解耦,也便于单独修改配置而不影响镜像。

Downward API

        Downward API 让 Pod 里的容器能够获取到 Pod 本身的元数据信息,如 Pod 的名称、命名空间、标签、注解等。它使得容器内的应用能够不依赖 Kubernetes API 就可以直接获取一些运行时需要的信息。

使用方法

使用 Downward API,有两种方式可以将 Pod 信息呈现给容器:

  • 通过环境变量。
  • 通过 Volume 文件。

通过 Volume 文件方式使用 Downward API

apiVersion: v1
kind: Pod
metadata:name: kubernetes-downwardapi-volume-examplelabels:zone: us-est-coastcluster: test-cluster1rack: rack-22annotations:build: twobuilder: john-doe
spec:containers:- name: client-containerimage: registry.k8s.io/busyboxcommand: ["sh", "-c"]args:- while true; doif [[ -e /etc/podinfo/labels ]]; thenecho -en '\n\n'; cat /etc/podinfo/labels; fi;if [[ -e /etc/podinfo/annotations ]]; thenecho -en '\n\n'; cat /etc/podinfo/annotations; fi;sleep 5;done;volumeMounts:- name: podinfomountPath: /etc/podinfovolumes:- name: podinfodownwardAPI:items:- path: "labels"fieldRef:fieldPath: metadata.labels- path: "annotations"fieldRef:fieldPath: metadata.annotations

        在这个例子中,Pod 的 Labels 和 Annotations 信息被作为文件挂载到容器的 /etc/podinfo 目录。容器内可以通过读取 /etc/podinfo/labels 和 /etc/podinfo/annotations 文件来获取这些信息。

Downward API 支持的字段

访问方式可访问的字段描述
fieldRefspec.nodeName获取宿主机的名字，即运行该 Pod 的节点名称
status.hostIP获取宿主机的 IP 地址
metadata.name获取 Pod 的名称
metadata.namespace获取 Pod 所在的命名空间
status.podIP获取分配给 Pod 的 IP 地址
spec.serviceAccountName获取 Pod 所使用的 Service Account 名称
metadata.uid获取 Pod 的唯一标识符（UID）
metadata.labels['<KEY>']获取指定 <KEY> 的 Label 值。您需要替换 <KEY> 为实际的 Label 键
metadata.annotations['<KEY>']获取指定 <KEY> 的 Annotation 值。同样地，需要将 <KEY> 替换为实际的 Annotation 键
metadata.labels获取 Pod 的所有 Label
metadata.annotations获取 Pod 的所有 Annotation
resourceFieldReflimits.cpu获取容器的 CPU 使用上限
requests.cpu获取容器请求的 CPU 资源量
limits.memory获取容器的内存使用上限
requests.memory获取容器请求的内存资源量

应用场景

  1. 让容器知道自己所在 Pod 的基本信息,如名称、IP、所属的 Node 等,用于日志记录或服务发现。
  2. 将 Pod 的标签或注解传递给容器,基于这些信息进行某些操作,如改变配置等。
  3. 某些 Operator 或 Controller 可能会给 Pod 添加一些元数据,并希望 Pod 内部能够获取到,Downward API 就很适合这种场景。

示例

容器内获取 Pod 信息写入日志

假如需要容器内的应用将一些日志信息和 Pod 名称、所在命名空间等元数据关联起来并输出,就可以使用 Downward API,像这样配置 Pod:

apiVersion: v1
kind: Pod
metadata:name: dapi-envars-fieldref
spec:containers:- name: test-containerimage: registry.k8s.io/busyboxcommand: [ "sh", "-c"]args:- while true; doecho "[$(date)] Hello from the $(MY_POD_NAME) pod in the $(MY_POD_NAMESPACE) namespace on node $(MY_NODE_NAME)" >> /var/log/hello.log;sleep 10;done;env:- name: MY_POD_NAME         #通过Downward API获取Pod名称valueFrom:fieldRef:fieldPath: metadata.name- name: MY_POD_NAMESPACE    #通过Downward API获取namespace名称valueFrom:fieldRef:fieldPath: metadata.namespace- name: MY_NODE_NAME        #通过Downward API获取Node名称valueFrom:fieldRef:fieldPath: spec.nodeName

        这样,容器内的脚本就可以获取 Pod 的名称、命名空间、所在节点等信息,并将其写入日志。当然,Pod 的这些元数据也可以单独记录在日志中,供后续进行过滤查询分析等操作。

ServiceAccountToken

        Service Account 是 Kubernetes 中的一种资源,它为 Pod 中运行的进程提供了一种身份标识。每个 namespace 都有一个默认的 default service account。 当创建 Pod 时,如果没有指定 service account,会自动使用 default service account。

        每个 Service Account 都有一个对应的 Secret,其中包含了访问 Kubernetes API 所需的授权 Token。Kubernetes 会自动将这个 Secret 以 Volume 的形式挂载到使用该 Service Account 的所有 Pod 中,挂载路径为 /var/run/secrets/kubernetes.io/serviceaccount。

        严格来说，Kubernetes 的 Projected Volume 只有三种，因为第四种 ServiceAccountToken，只是一种特殊的 Secret。

使用方法

一般不需要特别配置什么,Pod 创建完成后,容器内就可以直接从默认路径 /var/run/secrets/kubernetes.io/serviceaccount 读取授权信息和文件。

例如,容器内可以直接读取 /var/run/secrets/kubernetes.io/serviceaccount/token 文件获取 JWT Token,用于调用 Kubernetes API。

应用场景

  1. Pod 内的应用需要访问 Kubernetes API,如监控应用通过 API 查询指标数据。
  2. Operator 或 Controller 需要通过 API 控制其他资源。
  3. 自研的 PaaS 平台组件,需要通过 Kubernetes API 实现平台功能。

示例

Pod 内访问 Kubernetes API

自研的监控 Agent,需要它能够访问 Kubernetes API 获取集群的监控指标数据,就可以利用默认的 ServiceAccountToken,Agent 的 Pod 配置如下:

apiVersion: v1
kind: Pod
metadata:name: my-monitor-agent
spec:containers:- name: my-monitor-agentimage: my-monitor-agent:v1.0

Agent 的代码中,可以这样读取 ServiceAccountToken 并访问 API:

Go代码

import ("io/ioutil"metav1 "k8s.io/apimachinery/pkg/apis/meta/v1""k8s.io/client-go/kubernetes""k8s.io/client-go/rest"
)func main() {// 读取 ServiceAccountTokentokenFile := "/var/run/secrets/kubernetes.io/serviceaccount/token"token, err := ioutil.ReadFile(tokenFile)if err != nil {panic(err.Error())}// 创建 k8s 配置config := &rest.Config{Host:            "https://kubernetes.default.svc",BearerToken:     string(token),TLSClientConfig: rest.TLSClientConfig{Insecure: true},}// 创建 clientset 访问 APIclientset, err := kubernetes.NewForConfig(config)if err != nil {panic(err.Error())}// 调用 API 获取 Pod 列表pods, err := clientset.CoreV1().Pods("").List(metav1.ListOptions{})if err != nil {panic(err.Error())}// 进行监控数据采集逻辑 ...
}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/293386.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

家庭网络防御系统搭建-配置流量镜像到NDR系统

家庭网络防御系统搭建-配置流量镜像到NDR系统

由于需要将家庭网络中的全部流量送到NDR分析系统进行分析&#xff0c;因此需要一个具备流量镜像功能的交换机或者路由器。在前面文章所提及的家庭网络架构中&#xff0c;需要一台交换机即可拷贝东西向流量以及南北向流量。当然如果家庭中的路由器或者其他设备具备交换机镜像功能…
阅读更多...
【IntelliJ IDEA】运行测试报错解决方案（附图）

【IntelliJ IDEA】运行测试报错解决方案（附图）

IntelliJ IDEA 版本 2023.3.4 (Ultimate Edition) 测试报错信息 命令行过长。 通过 JAR 清单或通过类路径文件缩短命令行&#xff0c;然后重新运行 解决方案 修改运行配置&#xff0c;里面如果没有缩短命令行&#xff0c;需要再修改选项里面勾选缩短命令行让其显示&#x…
阅读更多...
在宝塔面板中，为自己的云服务器安装SSL证书，为所搭建的网站启用https（主要部分攻略）

在宝塔面板中，为自己的云服务器安装SSL证书，为所搭建的网站启用https（主要部分攻略）

前提条件 My HTTP website is running Nginx on Debian 10&#xff08;或者11&#xff09; 时间&#xff1a;2024-3-28 16:25:52 你的网站部署在Debain 10&#xff08;或者11&#xff09;的 Nginx上 安装单域名证书&#xff08;默认&#xff09;&#xff08;非泛域名&#xf…
阅读更多...
前端学习＜二＞CSS基础——15-Sass入门

前端学习＜二＞CSS基础——15-Sass入门

Sass简介 大家都知道&#xff0c;js 中可以自定义变量&#xff0c;css 仅仅是一个标记语言&#xff0c;不是编程语言&#xff0c;因此不可以自定义变量、不可以引用等等。 面对这些问题&#xff0c;我们现在来引入 Sass&#xff0c;简单的说&#xff0c;他是 css 的升级版&am…
阅读更多...
2024年网络安全运营体系建设方案

2024年网络安全运营体系建设方案

以下是部分WORD内容&#xff0c;请您参阅。如需下载完整WORD文件&#xff0c;请前往星球获取&#xff1a; 网络安全运营监控工作整体构想 工作目标及原则 工作目标 为进一步落实强化公司网络安全保障&#xff0c;有效支撑公司数字化转型战略&#xff0c;建立健全公司网省两级协…
阅读更多...
说说线路巡检系统解决的那些实际问题

说说线路巡检系统解决的那些实际问题

线路巡检系统无疑是解决实际问题的一把利剑&#xff0c;尤其在统一调配资源整合、检维修定位及沟通、人员自身安全、人员工作监督等方面展现出了显著优势。 通过线路巡检系统&#xff0c;我们能够轻松实现资源的统一调配和整合。在地图上定点&#xff0c;结合详细的GIS地理信息…
阅读更多...
Linux速览（2）——环境基础开发工具篇（其二）

Linux速览（2）——环境基础开发工具篇（其二）

本章我们来继续介绍一些linux的常用工具 目录 三. Linux编译器-gcc/g使用 1. 代码生成可执行程序的过程 2. gcc如何完成 2.1 格式&#xff1a; 2.2 预处理(进行宏替换) 2.3 编译&#xff08;生成汇编&#xff09; 2.4 汇编&#xff08;生成机器可识别代码&#xff09; …
阅读更多...
ZK友好代数哈希函数安全倡议

ZK友好代数哈希函数安全倡议

1. 引言 前序博客&#xff1a; ZKP中的哈希函数如何选择ZK-friendly 哈希函数&#xff1f;snark/stark-friendly hash函数Anemoi Permutation和Jive Compression模式&#xff1a;高效的ZK友好的哈希函数Tip5&#xff1a;针对Recursive STARK的哈希函数 随着Incrementally Ve…
阅读更多...
Netty学习——源码篇9 Handler其他处理与异步处理

Netty学习——源码篇9 Handler其他处理与异步处理

1 ChannelHandlerContext 每个ChannelHandler被添加到ChannelPipeline后&#xff0c;都会创建一个ChannelHandlerContext&#xff0c;并与ChannelHandler关联绑定。ChannelHandlerContext允许ChannelHandler与其他的ChannelHandler进行交互。ChannelHandlerContext不会改变添加…
阅读更多...
Redis超好用可视化工具--RedisInsight工具安装

Redis超好用可视化工具--RedisInsight工具安装

RedisInsight 保姆级安装 RedisInsight 是Redis官方出品的可视化redis管理工具&#xff0c;具有很强大的功能。接下来&#xff0c;让我们一起去完成这款炫酷工具的安装 1. RedisInsight 下载 RedisInsight 官方下载地址&#xff0c;https://redis.io/docs/connect/insight/ …
阅读更多...
邀请媒体采访报道对企业宣传有何意义？

邀请媒体采访报道对企业宣传有何意义？

传媒如春雨&#xff0c;润物细无声的&#xff0c;大家好&#xff0c;我是51媒体网胡老师。 邀请媒体采访报道对企业宣传具有多重意义&#xff1a; 提升品牌知名度和曝光度&#xff1a;媒体是信息传播的重要渠道&#xff0c;通过媒体的报道&#xff0c;企业及其活动、产品能够…
阅读更多...
从vrrp、bfd、keepalived到openflow多控制器--理论篇

从vrrp、bfd、keepalived到openflow多控制器--理论篇

vrrp 在一个网络中&#xff0c;通常会使用vrrp技术来实现网关的高可用。 vrrp&#xff0c;即Virtual Router Redundancy Protocol&#xff0c;虚拟路由冗余协议。 应用场景 典型的如下面这个例子&#xff1a; 当Router故障后&#xff0c;将会导致HostA-C都无法连接外部的I…
阅读更多...
C#.net8创建webapi，使用SqlSugar，仓储模式，DTO，服务层，控制层的综合应用（企业级）

C#.net8创建webapi，使用SqlSugar，仓储模式，DTO，服务层，控制层的综合应用（企业级）

本文源码地址： https://download.csdn.net/download/u012563853/89036104 源码中，也有详细的注释说明。 代码总览： 这是一个综合性比较强的文章，需要有一定的基础，没有基础的人，看了后，会全面的了解一下，有基础的人，看了后会加强认识，更加的巩固，直接在项目中去应…
阅读更多...
自贡市第一人民医院：超融合与 SKS 承载 HIS 等核心业务应用，加速国产化与云原生转型

自贡市第一人民医院：超融合与 SKS 承载 HIS 等核心业务应用，加速国产化与云原生转型

自贡市第一人民医院始建于 1908 年&#xff0c;现已发展成为集医疗、科研、教学、预防、公共卫生应急处置为一体的三级甲等综合公立医院。医院建有“全国综合医院中医药工作示范单位”等 8 个国家级基地&#xff0c;建成高级卒中中心、胸痛中心等 6 个国家级中心。医院日门诊量…
阅读更多...
Docker实现原理

Docker实现原理

namespaces System V IPC概述 System V引入了三种高级进程间的通信机制&#xff1a;消息队列、共享内寸和信号量 IPC对象(消息队列、共享内存和信号量)存在于内核中而不是文件系统中&#xff0c;由用户控制释放&#xff0c;不像管道的释放由内核控制 IPC对象通过其标识符来引…
阅读更多...
后端SpringBoot+Mybatis 查询订单数据库奇怪报错加一

后端SpringBoot+Mybatis 查询订单数据库奇怪报错加一

排错过程&#xff1a; 看报错意思是SQL语句存在错误&#xff0c;然后使用图形化工具运行这个SQL语句 其实这里稍微细心想一下就能发现问题&#xff0c;但是当时没深入想&#xff0c;就觉得order表前加了数据库名字影响不大&#xff0c;所以感觉SQL语句是没问题的&#xff0c;然…
阅读更多...
基于两个单片机串行通信的电子密码锁设计

基于两个单片机串行通信的电子密码锁设计

1.功能 电子号码锁在实际应用中应该有两部分&#xff0c;一部分在外部&#xff0c;有键盘部分和密码显示&#xff1b;另一部分内部&#xff0c;设置密码、显示密码。使用单片机自身带有的串口可以很方便的实现单片机之间的通信&#xff0c;使输入的密码值传送到主机检验是否是…
阅读更多...
硬件设备对接协议

硬件设备对接协议

硬件设备对接协议是指在硬件设备之间进行数据交换时所遵循的一系列规则和标准。这些协议定义了数据的传输方式、数据格式、通信接口等&#xff0c;以确保设备间能够有效地进行通信和数据交换。以下是一些常见的硬件设备对接协议。北京木奇移动技术有限公司&#xff0c;专业的软…
阅读更多...
1.1.2神经元和其数学模型（常见的）

1.1.2神经元和其数学模型（常见的）

阅读更多...
网络基础二补充——json与http协议

网络基础二补充——json与http协议

五、市面上常用序列化和反序列化工具 ​ 常用的有&#xff1a;json、protobuf、xml三种方案&#xff1b; 5.1json的使用 1.安装jsoncpp库&#xff0c;是一个第三方的开发库文件&#xff1b; sudo yum install -y jsoncpp-devel2.使用json ​ 经常使用的头文件是json.h&…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023