如何通过Helm动态挂载符合*-version模式的ConfigMap/Secret？

核心说明 #

Helm作为模板渲染工具，在渲染阶段没法直接查询Kubernetes集群里已存在的资源，所以没法原生实现「按模式自动发现并挂载」，但可以通过两种变通方案解决你的问题：

方案1：初始化容器+Kubectl自动抓取（推荐） #

在Pod启动前加一个初始化容器，用kubectl查询集群中符合*-version规则的ConfigMap/Secret，把它们的内容复制到共享卷里，主容器直接从这个卷读取文件。

步骤示例 #

1. 给Pod的服务账号加查询ConfigMap的权限：

# templates/rbac.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: configmap-reader
rules:
- apiGroups: [""]
  resources: ["configmaps"]
  verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-configmaps
subjects:
- kind: ServiceAccount
  name: {{ include "my-chart.serviceAccountName" . }}
roleRef:
  kind: Role
  name: configmap-reader
  apiGroup: rbac.authorization.k8s.io

2. 部署模板里加初始化容器和共享卷：

# templates/deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: {{ include "my-chart.fullname" . }}
spec:
  replicas: 1
  selector:
    matchLabels:
      {{- include "my-chart.selectorLabels" . | nindent 6 }}
  template:
    metadata:
      labels:
        {{- include "my-chart.selectorLabels" . | nindent 8 }}
    spec:
      serviceAccountName: {{ include "my-chart.serviceAccountName" . }}
      # 初始化容器：抓取符合规则的ConfigMap
      initContainers:
      - name: config-fetcher
        image: bitnami/kubectl:latest
        command:
        - /bin/sh
        - -c
        - |
          # 遍历所有*-version结尾的ConfigMap
          for cm in $(kubectl get configmaps -o name | grep -E '.*-version$'); do
            cm_name=$(echo $cm | cut -d'/' -f2)
            # 把ConfigMap的内容导出到共享卷的对应文件
            kubectl get $cm -o jsonpath='{.data.version}' > /configs/${cm_name}.txt
          done
        volumeMounts:
        - name: shared-configs
          mountPath: /configs
      # 主采集器容器
      containers:
      - name: prometheus-exporter
        image: {{ .Values.image.repository }}:{{ .Values.image.tag }}
        volumeMounts:
        - name: shared-configs
          mountPath: /app/versions  # 采集器从这个路径读取文件
      volumes:
      - name: shared-configs
        emptyDir: {}

如果是Secret，只需要把kubectl get configmaps改成kubectl get secrets，并且解码base64内容：kubectl get $secret -o jsonpath='{.data.version}' | base64 -d > /configs/${secret_name}.txt

方案2：CI/CD预生成挂载列表（适合自动化流水线） #

如果你的部署是CI/CD驱动的，可以在Helm渲染模板前，先用脚本查询符合规则的ConfigMap，把名称列表传入Helm values，再渲染模板。

示例Bash脚本 #

# 查询所有*-version结尾的ConfigMap名称，转成逗号分隔的列表
CM_LIST=$(kubectl get configmaps -o name | grep -E '.*-version$' | cut -d'/' -f2 | tr '\n' ',')

# 把列表传入Helm部署命令
helm upgrade --install my-chart ./my-chart \
  --set configMaps="[$CM_LIST]"

对应的Helm模板片段 #

# templates/deployment.yaml 容器挂载部分
containers:
- name: prometheus-exporter
  image: {{ .Values.image.repository }}:{{ .Values.image.tag }}
  volumeMounts:
  {{- range .Values.configMaps }}
  - name: {{ . }}-vol
    mountPath: /app/versions/{{ . }}.txt
    subPath: version.txt
  {{- end }}
volumes:
{{- range .Values.configMaps }}
- name: {{ . }}-vol
  configMap:
    name: {{ . }}
{{- end }}

这个方案不用额外容器，但新增ConfigMap后需要重新触发部署，适合已经有自动化流水线的场景。

方案对比 #

内容的提问来源于stack exchange，提问作者Vineeth