如何通过Helm Chart自动创建API-Key Secret供App B访问App A？

方案1：利用Helm Hooks + Kubernetes Job 生成并创建Secret #

这是最贴合你需求的方案——通过Helm的钩子触发Job，完成等待App A就绪、调用API生成密钥、创建Secret的全流程，密钥只会生成一次。

具体步骤： #

1. 在App B的Helm Chart中添加Job资源，配置为pre-install类型的Helm Hook（确保在App B部署前执行），同时设置hook-delete-policy: hook-succeeded避免Job执行成功后残留。
2. 给Job绑定拥有创建Secret权限的ServiceAccount，需要定义对应的Role和RoleBinding，允许在当前Namespace内创建Secret。
3. Job容器内执行以下逻辑：
   • 轮询App A的健康检查接口，直到服务就绪
   • 调用App A的API生成API-Key
   • 用kubectl命令创建存储密钥的Secret

示例Job配置（放在App B Chart的templates目录下）：

apiVersion: batch/v1
kind: Job
metadata:
  name: {{ .Release.Name }}-generate-api-key
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": hook-succeeded
spec:
  template:
    spec:
      serviceAccountName: {{ .Release.Name }}-secret-creator
      restartPolicy: OnFailure
      containers:
      - name: generate-key
        image: curlimages/curl:latest
        command:
        - /bin/sh
        - -c
        - |
          # 等待App A服务就绪
          until curl -s http://app-a-service:8080/health; do
            echo "Waiting for App A to be ready..."
            sleep 5
          done
          # 调用API生成密钥
          API_KEY=$(curl -s http://app-a-service:8080/api/generate-key | jq -r '.key')
          # 创建存储密钥的Secret
          kubectl create secret generic app-a-api-key --from-literal=api-key=$API_KEY

对应的ServiceAccount、Role和RoleBinding配置：

# ServiceAccount
apiVersion: v1
kind: ServiceAccount
metadata:
  name: {{ .Release.Name }}-secret-creator
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": hook-succeeded

# 权限Role
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: {{ .Release.Name }}-secret-creator-role
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": hook-succeeded
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["create"]

# 绑定权限
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: {{ .Release.Name }}-secret-creator-binding
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": hook-succeeded
subjects:
- kind: ServiceAccount
  name: {{ .Release.Name }}-secret-creator
roleRef:
  kind: Role
  name: {{ .Release.Name }}-secret-creator-role
  apiGroup: rbac.authorization.k8s.io

最后在App B的Deployment中引用这个Secret：

env:
- name: API_KEY
  valueFrom:
    secretKeyRef:
      name: app-a-api-key
      key: api-key

方案2：CI/CD流水线提前生成密钥，通过Helm Values传递 #

如果你的部署依赖CI/CD流水线（比如GitLab CI、GitHub Actions），可以把密钥生成步骤移到流水线中，避开集群内的权限问题：

1. 在流水线初始阶段，生成随机密钥（或者直接调用App A的API生成，前提是流水线能访问App A服务）
2. 将密钥作为Helm Values分别传递给App A和App B的安装命令：
   • 安装App A时，通过--set apiKey=${GENERATED_KEY}让应用启用该密钥
   • 安装App B时，要么直接通过Values传入密钥，要么让应用引用流水线提前创建的Secret

示例流水线命令：

# 生成随机密钥（或替换为调用App A API的命令）
GENERATED_KEY=$(openssl rand -hex 16)

# 安装App A并传入密钥
helm install app-a ./app-a-chart --set apiKey=$GENERATED_KEY

# 等待App A部署完成
kubectl wait --for=condition=available deployment/app-a --timeout=5m

# 创建存储密钥的Secret
kubectl create secret generic app-a-api-key --from-literal=api-key=$GENERATED_KEY

# 安装App B并引用Secret
helm install app-b ./app-b-chart --set secretName=app-a-api-key

方案3：修改App A Chart自动生成并暴露密钥 #

如果可以修改App A的Helm Chart，这是最简单的方案——让App A在部署时自动生成密钥并存入Secret，App B直接引用即可：

1. 在App A的Chart中添加Secret资源，用Helm内置函数生成随机密钥：

apiVersion: v1
kind: Secret
metadata:
  name: app-a-api-key
type: Opaque
data:
  api-key: {{ randAlphaNum 32 | b64enc }}

2. 在App A的Deployment中注入该密钥，让应用启用它
3. App B的Chart直接引用这个Secret即可

内容的提问来源于stack exchange，提问作者Evil_skunk