如何在EKS初始化容器中读取Secret/ConfigMap并实现必填校验？

完全可以通过EKS的初始化容器实现必填环境变量的校验，而且相比在应用容器中通过健康检查实现，初始化容器会在主容器启动前执行校验，一旦校验失败直接终止Pod启动，避免主容器启动后再报错退出，资源利用率更高，还能和应用代码解耦。

实现步骤 #

1. 给初始化容器注入Secret/ConfigMap的环境变量

和主容器的配置方式一致，通过envFrom或env字段，把Secret和ConfigMap中的键值对转换成初始化容器的环境变量。示例配置：

initContainers:
  - name: config-validator
    image: busybox:latest # 用轻量镜像，资源消耗极低
    # 批量注入整个Secret和ConfigMap的所有键为环境变量
    envFrom:
      - secretRef:
          name: your-app-secret # 替换成你的Secret名称
      - configMapRef:
          name: your-app-configmap # 替换成你的ConfigMap名称
    # 或者单独指定需要校验的变量（如果不需要全部注入）
    # env:
    #   - name: A
    #     valueFrom:
    #       secretKeyRef:
    #         name: your-app-secret
    #         key: A
    #   - name: B
    #     valueFrom:
    #       configMapKeyRef:
    #         name: your-app-configmap
    #         key: B

2. 编写校验脚本（Shell实现）

用Shell脚本替代Java代码完成环境变量校验，脚本逻辑和你之前的Java逻辑一致：遍历必填变量列表，检查每个变量是否存在且非空，发现缺失则输出错误并以非0状态退出（标记初始化容器失败）。

你可以选择两种方式执行脚本：

方式一：直接把脚本写在Pod配置中（适合简单逻辑）

initContainers:
  - name: config-validator
    image: busybox:latest
    envFrom:
      - secretRef:
          name: your-app-secret
      - configMapRef:
          name: your-app-configmap
    command:
      - sh
      - -c
      - |
        # 定义必填环境变量列表
        MANDATORY_VARS="A B C D"
        
        # 遍历检查每个变量
        for var in $MANDATORY_VARS; do
          if [ -z "${!var}" ]; then
            echo "[CONFIGURATION ERROR] Missing mandatory environment variable: $var"
            exit 1 # 非0退出，触发初始化容器失败
          fi
        done
        
        echo "All mandatory environment variables are valid."
        exit 0

方式二：把脚本存到ConfigMap中挂载执行（适合复杂逻辑）

先创建存储脚本的ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: config-check-script
data:
  validate-config.sh: |
    #!/bin/sh
    MANDATORY_VARS="A B C D"
    
    for var in $MANDATORY_VARS; do
      if [ -z "${!var}" ]; then
        echo "[CONFIGURATION ERROR] Missing mandatory environment variable: $var"
        exit 1
      fi
    done
    
    echo "All mandatory environment variables are valid."
    exit 0

然后在Pod配置中挂载并执行：

initContainers:
  - name: config-validator
    image: busybox:latest
    envFrom:
      - secretRef:
          name: your-app-secret
      - configMapRef:
          name: your-app-configmap
    volumeMounts:
      - name: script-volume
        mountPath: /scripts
        readOnly: true
    command: ["/scripts/validate-config.sh"]
volumes:
  - name: script-volume
    configMap:
      name: config-check-script
      defaultMode: 0755 # 给脚本添加执行权限

核心优势 #

• 更早拦截错误：初始化容器失败直接阻止主容器启动，避免主容器启动后再报错退出，节省集群资源。
• 与应用解耦：不需要修改Java应用代码，完全通过Kubernetes配置实现校验逻辑。
• 轻量高效：使用busybox这类几MB的镜像，资源消耗可以忽略不计。

注意事项 #

• 确保依赖的Secret和ConfigMap已经存在于EKS集群中，否则初始化容器会因为无法注入环境变量直接失败（这也能间接校验配置资源是否存在）。
• 如果允许环境变量值为空字符串，可把脚本中的检查逻辑改成if [ ! -v "$var" ]，只校验变量是否被定义。

内容的提问来源于stack exchange，提问作者Prashant Raghav