如何在Kubernetes中重命名挂载Secret文件并接收更新？

方案1：调整cert-manager配置，直接生成符合要求的Secret键名 #

如果能修改cert-manager的Certificate资源配置，这是最直接的方案——让cert-manager生成的Secret里直接包含名为client_certificate.jks的密钥库文件，彻底规避subPath的问题，同时保证Secret更新能自动同步。

在Certificate资源的spec.keystore字段里指定filename即可：

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: your-cert
spec:
  # 其他常规配置（issuer、dnsNames等）...
  keystores:
    jks:
      create: true
      passwordSecretRef:
        name: keystore-password
        key: password
      filename: client_certificate.jks  # 指定应用需要的文件名

生成的Secret里会直接出现client_certificate.jks这个键，之后只需要把整个Secret挂载到/app/secret/目录，应用就能直接读取到正确名称的文件，且Secret更新时会自动同步到容器内。

方案2：用Init容器创建软链接 #

如果无法修改cert-manager配置，可通过Init容器在Pod启动时创建软链接，将Secret里的keystore.jks映射为应用需要的client_certificate.jks，同时挂载整个Secret目录而非单个文件，保证更新能同步。

Pod配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: your-app-pod
spec:
  initContainers:
  - name: link-keystore
    image: busybox:latest
    command: ['sh', '-c', 'ln -sf /secret/keystore.jks /app-secret/client_certificate.jks']
    volumeMounts:
    - name: cert-secret
      mountPath: /secret  # 挂载整个Secret到临时目录
    - name: app-secret-dir
      mountPath: /app-secret  # 挂载空目录存放软链接
  containers:
  - name: your-app
    image: your-app-image
    volumeMounts:
    - name: app-secret-dir
      mountPath: /app/secret  # 应用读取该目录下的软链接
  volumes:
  - name: cert-secret
    secret:
      secretName: cliet_certificate  # 你的cert-manager生成的Secret
  - name: app-secret-dir
    emptyDir: {}  # 用emptyDir承载软链接，确保容器可访问

原理：Init容器先完成软链接创建，应用挂载存放软链接的emptyDir读取文件。当Secret更新时，/secret目录会自动同步源文件，软链接指向的内容也会随之更新，应用下次读取就能拿到最新证书。

方案3：用Sidecar容器实时同步文件 #

如果应用需要不重启就感知证书更新，可用Sidecar容器定期将Secret里的文件复制到应用目录：

Pod配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: your-app-pod
spec:
  containers:
  - name: your-app
    image: your-app-image
    volumeMounts:
    - name: app-secret-dir
      mountPath: /app/secret
  - name: sync-secret
    image: busybox:latest
    command: ['sh', '-c', 'while true; do cp /secret/keystore.jks /app-secret/client_certificate.jks; sleep 30; done']
    volumeMounts:
    - name: cert-secret
      mountPath: /secret
    - name: app-secret-dir
      mountPath: /app-secret
  volumes:
  - name: cert-secret
    secret:
      secretName: cliet_certificate
  - name: app-secret-dir
    emptyDir: {}

这个Sidecar会每隔30秒执行一次复制操作，保证应用目录里的文件始终和Secret同步。如果需要更实时的同步，可以改用inotify-tools监听Secret目录的变化，触发即时复制。

内容的提问来源于stack exchange，提问作者dbf