从VM Docker迁移至Kubernetes后，环境变量中TLS证书与密钥引用失败问题求助

看起来你是把VM Docker里的证书配置逻辑直接搬到K8S里了，这里的核心误区是：Kubernetes的容器没法直接通过Secret名称来读取证书内容，你得先把Secret挂载成容器内的实际文件，再让环境变量指向这些文件路径——和你原来Docker里的逻辑其实是一致的，只是多了挂载Secret的步骤。

下面给你两种可行的解决方案，对应你尝试过的两种Secret类型：

方案1：使用TLS类型Secret（推荐，K8S专为证书密钥设计的类型） #

你已经正确创建了TLS Secret，接下来只需要在Deployment/StatefulSet中把这个Secret挂载到容器内的路径，再配置环境变量指向挂载后的文件即可：

1. 先确认你的TLS Secret已创建：

kubectl create secret tls cl-tls --key "server.key" --cert "server.crt"

2. 修改你的应用Deployment配置，添加Volume挂载和环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-app-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-app
  template:
    metadata:
      labels:
        app: your-app
    spec:
      # 定义要挂载的TLS Secret卷
      volumes:
        - name: tls-secret-volume
          secret:
            secretName: cl-tls # 对应你创建的TLS Secret名称
            # 可选：如果想保持和原来Docker里的文件名一致（server.crt/server.key），添加items重命名
            items:
              - key: tls.crt # TLS Secret默认的证书键名
                path: server.crt # 重命名为你习惯的文件名
              - key: tls.key # TLS Secret默认的密钥键名
                path: server.key # 重命名为你习惯的文件名
      containers:
        - name: your-app-container
          image: your-app-image:tag
          # 将Secret卷挂载到容器内的/tls路径
          volumeMounts:
            - name: tls-secret-volume
              mountPath: /tls
              readOnly: true # 证书密钥只读即可，更安全
          # 配置环境变量，和你原来Docker的.env完全一致
          env:
            - name: TLS_CERT_PATH
              value: /tls/server.crt
            - name: TLS_KEY_PATH
              value: /tls/server.key

如果不需要重命名文件名，TLS Secret默认挂载后的文件名为tls.crt和tls.key，此时环境变量对应/tls/tls.crt和/tls/tls.key即可。

方案2：使用通用类型Secret（分开存储证书和密钥） #

如果你坚持用两个独立的通用Secret，需要分别把它们挂载到容器内的指定文件路径：

1. 先确认你的通用Secret已创建：

kubectl create secret generic tls-cert --from-file="server.crt"
kubectl create secret generic tls-key --from-file="server.key"

2. 修改Deployment配置，挂载两个Secret并配置环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-app-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-app
  template:
    metadata:
      labels:
        app: your-app
    spec:
      volumes:
        - name: tls-cert-volume
          secret:
            secretName: tls-cert
        - name: tls-key-volume
          secret:
            secretName: tls-key
      containers:
        - name: your-app-container
          image: your-app-image:tag
          volumeMounts:
            # 直接把证书挂载到/tls/server.crt文件
            - name: tls-cert-volume
              mountPath: /tls/server.crt
              subPath: server.crt # 指定Secret中的文件名
              readOnly: true
            # 直接把密钥挂载到/tls/server.key文件
            - name: tls-key-volume
              mountPath: /tls/server.key
              subPath: server.key
              readOnly: true
          # 环境变量和原来完全一致
          env:
            - name: TLS_CERT_PATH
              value: /tls/server.crt
            - name: TLS_KEY_PATH
              value: /tls/server.key

为什么原来的配置无效？ #

你之前在ConfigMap里写的是Secret的名称，但容器的环境变量只是普通字符串——Kubernetes不会自动把Secret名称解析成文件路径。必须通过Volume挂载，把Secret中存储的证书密钥内容转换成容器文件系统里的实际文件，应用才能像在Docker里一样通过路径读取这些文件。

内容的提问来源于stack exchange，提问作者Matt - Block-Farms.io