摘要：目前只支持使用來自于的。現在我們能創建使用這個的當這個中的運行后，將會有如下兩個文件及對應的內容現在可以用這個數據來建立連接。

在kubernetes中，secret對象類型主要目的是 保存一些私密數據，比如密碼，OAuth tokens，ssh keys等信息。將這些信息放在secret對象中 比 直接放在pod或docker image中更安全，也更方便使用。

創建secrets對象的方式有兩種，一種是用戶手動創建，另一種是集群自動創建。

一個已經創建好的secrets對象有兩種方式被pod對象使用，其一，在container中的volume對象里以file的形式被使用，其二，在pull images時被kubelet使用。

為了使用secret對象，pod必須‘引用’這個secret，同樣可以手動或者自動來執行‘引用’操作。

kubernetes會自動創建包含證書信息的secret，并且使用它來訪問api，kubernetes也將自動修改pod來使用這個secret。

自動創建的secret 以及 所使用的api證書 可以根據需要disable 或者 覆蓋。如果僅僅需要 安全訪問apiserver，那么上述的流程是推薦的方式。

以下是一個簡單secret對象的例子：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  password: dmFsdWUtMg0K
  username: dmFsdWUtMQ0K

數據中的字段為map類型。其中keys必須符合dns_subdomain規則，values可以為任意類型，使用base64編碼。上述例子中，username和password的數據值在base64編碼前的值為value-1 和 value-2。

一旦secret被創建，可以：

通過ServiceAccount使用它自動創建pod；

修改pod來使用secret；

以下是一個例子，綁定secret到一個pod的volume：

{
 "apiVersion": "v1",
 "kind": "Pod",
  "metadata": {
    "name": "mypod",
    "namespace": "myns"
  },
  "spec": {
    "containers": [{
      "name": "mypod",
      "image": "redis",
      "volumeMounts": [{
        "name": "foo",
        "mountPath": "/etc/foo",
        "readOnly": true
      }]
    }],
    "volumes": [{
      "name": "foo",
      "secret": {
        "secretName": "mysecret"
      }
    }]
  }
}

注意，必須有spec.volumes才能使用secret。
如果一個pod中有多個container，每個container需要他們多帶帶對應的volumeMounts ，但是一個secret只能對應一個spec.volumes。

只要需要，可以將許多文件打包進一個secret，或者使用多個secret。

詳細信息見：images documentation

在使用之前，secret volume 資源被驗證，以確保指定的對象引用真是指向一個secret對象。因此，在pod使用它之前必須保證需要的secret被成功創建。

secret api對象從屬于namespace，一個secret對象只能被同namespace的pod所使用。

單個secret限制在1Mb之內，防止過大的secret耗盡apiserver & kubelet的內存。然而，創建許多類似的secret同樣也會無用的消耗掉apiserver&kubelet的內存。

kubelet目前只支持pod使用來自于apiserver的secret。pods包括了被 kubectl創建的pod 或者 被replication controller間接創建的。

在一個綁定了secret的container中，會以secret keys為名的文件，其內容為secret value的base64 decode后的內容。下面是上述例子的輸出：

$ ls /etc/foo/
username
password
$ cat /etc/foo/username
value-1
$ cat /etc/foo/password
value-2

container中的程序可以讀取其中的文件來獲取其內容。

當通過api創建一個pod后，不會去檢查所引用的secret是否存在。一旦這個pod被使用，kubelet將會嘗試去獲取引用的secret的值。如果這個secret不存在，或者kubelet暫時鏈接不上apiserver，kubelet將會定期重試，并發送一個event來解釋pod沒有啟動的原因。如果獲取到了對應的secret，kubelet將會創建對應的volume并綁定到container。

一旦kubelet創建了一個pod，則container使用的相關secret volume不會在改變，即使對應的secret對象被修改。如果為了改變使用的secret，則必須刪除舊的pod，并重新創建一個新的pod。

pod通過secret來使用ssh-key，首先得先創建對應的secret：

{
  "kind": "Secret",
  "apiVersion": "v1",
  "metadata": {
    "name": "ssh-key-secret"
  },
  "data": {
    "id-rsa": "dmFsdWUtMg0KDQo=",
    "id-rsa.pub": "dmFsdWUtMQ0K"
  }
}

Note：其中secret的data數據經過base64編碼，不包含換行符。

現在我們能創建使用這個secret的pod：

{
  "kind": "Pod",
  "apiVersion": "v1",
  "metadata": {
    "name": "secret-test-pod",
    "labels": {
      "name": "secret-test"
    }
  },
  "spec": {
    "volumes": [
      {
        "name": "secret-volume",
        "secret": {
          "secretName": "ssh-key-secret"
        }
      }
    ],
    "containers": [
      {
        "name": "ssh-test-container",
        "image": "mySshImage",
        "volumeMounts": [
          {
            "name": "secret-volume",
            "readOnly": true,
            "mountPath": "/etc/secret-volume"
          }
        ]
      }
    ]
  }
}

當這個pod中的container運行后，將會有如下兩個文件及對應的內容：

/etc/secret-volume/id-rsa.pub
/etc/secret-volume/id-rsa

現在container可以用這個secret數據來建立ssh連接。

下面的例子將會展示 一個pod使用包含prod環境證書的secret對象，另一個pod使用包含test環境證書的secret對象：

secret對象：

{
  "apiVersion": "v1",
  "kind": "List",
  "items":
  [{
    "kind": "Secret",
    "apiVersion": "v1",
    "metadata": {
      "name": "prod-db-secret"
    },
    "data": {
      "password": "dmFsdWUtMg0KDQo=",
      "username": "dmFsdWUtMQ0K"
    }
  },
  {
    "kind": "Secret",
    "apiVersion": "v1",
    "metadata": {
      "name": "test-db-secret"
    },
    "data": {
      "password": "dmFsdWUtMg0KDQo=",
      "username": "dmFsdWUtMQ0K"
    }
  }]
}

建立pods：

{
  "apiVersion": "v1",
  "kind": "List",
  "items":
  [{
    "kind": "Pod",
    "apiVersion": "v1",
    "metadata": {
      "name": "prod-db-client-pod",
      "labels": {
        "name": "prod-db-client"
      }
    },
    "spec": {
      "volumes": [
        {
          "name": "secret-volume",
          "secret": {
            "secretName": "prod-db-secret"
          }
        }
      ],
      "containers": [
        {
          "name": "db-client-container",
          "image": "myClientImage",
          "volumeMounts": [
            {
              "name": "secret-volume",
              "readOnly": true,
              "mountPath": "/etc/secret-volume"
            }
          ]
        }
      ]
    }
  },
  {
    "kind": "Pod",
    "apiVersion": "v1",
    "metadata": {
      "name": "test-db-client-pod",
      "labels": {
        "name": "test-db-client"
      }
    },
    "spec": {
      "volumes": [
        {
          "name": "secret-volume",
          "secret": {
            "secretName": "test-db-secret"
          }
        }
      ],
      "containers": [
        {
          "name": "db-client-container",
          "image": "myClientImage",
          "volumeMounts": [
            {
              "name": "secret-volume",
              "readOnly": true,
              "mountPath": "/etc/secret-volume"
            }
          ]
        }
      ]
    }
  }]
}

建立的兩個pod都擁有兩個文件：

    /etc/secret-volume/username
    /etc/secret-volume/password

可以使用service accounts來簡化上述的流程，一個是prod-user對應prod-db-secret，另一個是test-user對應test-db-secret，如：

{
"kind": "Pod",
"apiVersion": "v1",
"metadata": {
  "name": "prod-db-client-pod",
  "labels": {
    "name": "prod-db-client"
  }
},
"spec": {
  "serviceAccount": "prod-db-client",
  "containers": [
    {
      "name": "db-client-container",
      "image": "myClientImage",
    }
  ]
}