借助AWS Secrets Manager，如何在K8s配置文件中用环境变量Secret连PostgreSQL？

核心问题是：大多数应用的配置文件不会自动解析并替换环境变量，你直接在配置里写$POSTGRES_USER或${POSTGRES_USER}，应用只会把它当作字符串字面量，不会读取对应的环境变量值，导致连接失败。

以下是几种实用的解决方法：

方法1：启动前用脚本替换配置模板 #

这是通用方案，适用于所有不支持环境变量解析的应用：

1. 编写启动脚本（比如start-app.sh），用envsubst工具替换模板中的变量：

#!/bin/sh
# 将配置模板中的环境变量替换为实际值，生成最终配置文件
envsubst < /app/config-template.yaml > /app/config.yaml
# 启动应用（替换为你的实际启动命令）
exec /app/your-app-binary

2. 将脚本放入容器镜像，或通过ConfigMap挂载到容器中。

3. 修改Job的容器配置，让容器先执行脚本再启动应用：

containers:
  - name: your-app-container
    image: your-app-image
    command: ["/bin/sh"]
    args: ["/app/start-app.sh"]
    env:
      - name: POSTGRES_USER
        valueFrom:
          secretKeyRef:
            name: your-postgres-secret
            key: username
      - name: POSTGRES_PASSWORD
        valueFrom:
          secretKeyRef:
            name: your-postgres-secret
            key: password
      - name: POSTGRES_DB
        valueFrom:
          secretKeyRef:
            name: your-postgres-secret
            key: dbname
    volumeMounts:
      - name: config-template
        mountPath: /app/config-template.yaml
        subPath: config-template.yaml
volumes:
  - name: config-template
    configMap:
      name: your-config-template-cm

4. 将原配置文件改为模板，变量用${VAR}格式：

dsn: postgres://${POSTGRES_USER}:${POSTGRES_PASSWORD}@postgres-headless-svc.{{ target.name }}.svc.cluster.local:5432/${POSTGRES_DB}

注：如果{{ target.name }}是Helm模板变量，需确保在渲染ConfigMap时已完成替换，否则也要将其转为环境变量在脚本中处理。

方法2：利用应用自身的环境变量支持 #

部分应用框架允许在配置文件中直接引用环境变量，但需要使用框架指定的语法：

• Python Flask/Django：需在代码中用os.getenv("POSTGRES_USER")读取，而非直接写在配置文件
• Go 部分框架：支持${VAR}格式，但需启用配置解析器的环境变量替换功能
• Java Spring：可使用${POSTGRES_USER}，但需确保配置文件类型（如.properties/.yaml）支持该语法

具体需查看应用官方文档，确认支持的变量引用格式。

方法3：直接在启动命令中传递DSN参数 #

如果应用支持通过命令行参数接收数据库DSN，可跳过配置文件，直接在启动命令中拼接环境变量：

containers:
  - name: your-app-container
    image: your-app-image
    command: ["/bin/sh", "-c"]
    args:
      - "your-app-command --dsn 'postgres://$POSTGRES_USER:$POSTGRES_PASSWORD@postgres-headless-svc.{{ target.name }}.svc.cluster.local:5432/$POSTGRES_DB'"
    env:
      - name: POSTGRES_USER
        valueFrom:
          secretKeyRef:
            name: your-postgres-secret
            key: username
      - name: POSTGRES_PASSWORD
        valueFrom:
          secretKeyRef:
            name: your-postgres-secret
            key: password
      - name: POSTGRES_DB
        valueFrom:
          secretKeyRef:
            name: your-postgres-secret
            key: dbname

注：必须用/bin/sh -c包裹命令，才能让shell解析环境变量。

排查步骤（若仍失败） #

1. 进入Job容器，执行echo $POSTGRES_USER确认环境变量存在且值正确
2. 查看应用日志，明确错误类型：是密码错误、主机无法解析，还是连接超时
3. 在容器内手动拼接DSN，用psql或应用的测试命令尝试连接，验证DSN有效性

内容的提问来源于stack exchange，提问作者Steve Nadraus