如何在GKE中配置密钥？解决Python容器os.getenv()返回None问题

你遇到的os.getenv()返回None的问题，大概率是因为本地的.env文件没有被正确传递到GKE容器中。下面提供两种基于Kubernetes Secret的标准化方案，适配你已有单容器密钥的场景：

方案1：将.env密钥作为环境变量注入容器 #

这种方式不需要修改Python代码，直接让容器环境变量包含密钥：

1. 从.env文件创建Kubernetes Secret
   假设你的.env内容是：

   API_KEY=abc123
   DB_PASSWORD=xyz789
   

   执行kubectl命令直接生成Secret：

   kubectl create secret generic app-secrets --from-env-file=.env
   

   这里app-secrets是自定义的Secret名称，可根据业务调整。

2. 在Deployment中配置环境变量
   修改你的Deployment YAML，在容器段添加环境变量引用：

   containers:
   - name: your-python-container
     image: your-image:tag
     env:
       - name: API_KEY
         valueFrom:
           secretKeyRef:
             name: app-secrets
             key: API_KEY
       - name: DB_PASSWORD
         valueFrom:
           secretKeyRef:
             name: app-secrets
             key: DB_PASSWORD
   

   部署后，Python代码里os.getenv("API_KEY")就能直接拿到对应值。

方案2：将Secret挂载为容器内的.env文件 #

如果你的代码依赖读取本地.env文件（比如用python-dotenv），可以直接把Secret挂载成容器内的.env文件：

1. 创建包含完整.env内容的Secret
   执行命令将整个.env文件作为Secret的一个条目：

   kubectl create secret generic env-file-secret --from-file=.env=./.env
   

2. 在Deployment中配置卷挂载
   修改Deployment YAML，添加卷和挂载配置：

   containers:
   - name: your-python-container
     image: your-image:tag
     volumeMounts:
     - name: env-volume
       mountPath: /app/.env  # 替换成你代码读取.env的实际路径
       subPath: .env
   volumes:
   - name: env-volume
     secret:
       secretName: env-file-secret
   

   部署后，容器内指定路径会出现和本地一致的.env文件，代码中加载即可：

   from dotenv import load_dotenv
   load_dotenv()
   api_key = os.getenv("API_KEY")
   

排查小技巧 #

如果还是拿不到值，可进入容器验证：

• 查看环境变量：kubectl exec -it <pod-name> -- env
• 查看挂载的.env文件：kubectl exec -it <pod-name> -- cat /app/.env

内容的提问来源于stack exchange，提问作者thegamebegins25