如何从K8s Secret Store传递并展开环境变量至无Shell的Docker容器

方案1：让应用直接读取环境变量（最优） #

如果你的my-command支持直接从环境变量读取配置，完全不需要在args里手动传递参数。只需保留envFrom加载Secret，应用会自动读取已注入的MY_ENV_VAR1和MY_ENV_VAR2环境变量：

envFrom:
- secretRef:
    name: secret     
command: ["my-command"]
# 移除args中的手动参数传递，由应用自行读取环境变量

方案2：用Init容器预渲染参数 #

如果应用必须通过命令行参数接收配置，且容器无Shell无法自行展开变量，可以借助带Shell的Init容器提前处理变量替换，将渲染后的参数存入共享卷，供主容器使用：

完整配置示例 #

apiVersion: v1
kind: Pod
metadata:
  name: my-app-pod
spec:
  # 定义共享卷，用于传递渲染后的参数
  volumes:
  - name: rendered-args
    emptyDir: {}

  # Init容器：负责展开环境变量并生成参数文件
  initContainers:
  - name: args-renderer
    image: alpine:latest
    command: ["/bin/sh", "-c"]
    args:
    - >
      # 将展开后的参数写入文件
      echo -e "--env=ENV1=${MY_ENV_VAR1}\n--env=env2=${MY_ENV_VAR2}" > /rendered/args.txt;
    # 加载Secret中的环境变量
    envFrom:
    - secretRef:
        name: secret
    # 挂载共享卷
    volumeMounts:
    - name: rendered-args
      mountPath: /rendered

  # 主容器：读取预渲染的参数执行命令
  containers:
  - name: main-app
    image: your-app-image:tag
    # 假设my-command支持通过@符号读取参数文件，若不支持需调整为对应方式
    command: ["my-command"]
    args: ["@/rendered/args.txt"]
    # 挂载共享卷
    volumeMounts:
    - name: rendered-args
      mountPath: /rendered

说明 #

• Init容器使用带Shell的轻量镜像（如alpine），可以正常解析环境变量并生成参数文件
• 共享卷emptyDir在Pod生命周期内存在，主容器可以直接读取预渲染好的参数

方案3：通过部署工具提前渲染参数 #

如果使用Helm、Kustomize等部署工具，可以在模板阶段直接引用Secret中的值，提前渲染出完整的命令行参数：

Helm模板示例（templates/pod.yaml） #

envFrom:
- secretRef:
    name: {{ .Values.secretName }}     
command: ["my-command"]
args:
  - "--env=ENV1={{ (lookup "v1" "Secret" .Release.Namespace .Values.secretName).data.MY_ENV_VAR1 | b64dec }}"
  - "--env=env2={{ (lookup "v1" "Secret" .Release.Namespace .Values.secretName).data.MY_ENV_VAR2 | b64dec }}"

注：通过lookup函数获取Secret数据并解码后，直接渲染为命令行参数。

内容的提问来源于stack exchange，提问作者Tucan