Kubernetes中如何在容器启动前执行命令加载环境变量（不改镜像）？

我将Docker容器通过卷挂载了路径为/vault/secrets/some_file的文件，文件内容如下：

export AA="aaa"

执行命令kubectl exec MY_POD -- cat /vault/secrets/some_file会返回export AA="aaa"。

我希望在主容器启动前执行该文件，使AA的值能作为容器内的环境变量使用。我曾尝试在deployment.yaml的containers字段下添加以下配置：

command:
  ['sh', '-c']
args:
  ['source /vault/secrets/some_file && <entrypoint script>']

但问题在于，我无法获取所拉取镜像中包含的entrypoint或CMD，且我无法控制所使用的Docker镜像（可能是hello-world或其他无法访问其entrypoint的镜像）。我需要一个适用于任意镜像的解决方案，请问是否存在无需修改Docker镜像entrypoint脚本的实现方法？

方法1：通过Shell的exec特性复用镜像原有命令（需提前查询镜像的ENTRYPOINT/CMD） #

虽然无法直接访问镜像内部，但可以通过docker inspect命令查询镜像的ENTRYPOINT和CMD：

# 查询镜像的ENTRYPOINT
docker inspect --format='{{.Config.Entrypoint}}' <你的镜像名称>
# 查询镜像的CMD
docker inspect --format='{{.Config.Cmd}}' <你的镜像名称>

得到结果后，在Deployment配置中通过sh -c先加载环境变量文件，再用exec替换当前shell进程执行原有命令（保证应用进程为PID 1，避免信号处理异常）：

containers:
- name: main-app
  image: <你的镜像名称>
  command: ["sh", "-c"]
  args:
    - "source /vault/secrets/some_file && exec <查询到的ENTRYPOINT> <查询到的CMD>"
  volumeMounts:
    - name: secret-volume
      mountPath: /vault/secrets

例如，如果镜像ENTRYPOINT为["/app/run.sh"]，CMD为["--mode=prod"]，则args配置为：

args: ["source /vault/secrets/some_file && exec /app/run.sh --mode=prod"]

方法2：用Init容器生成通用启动脚本（无需提前知晓ENTRYPOINT/CMD） #

通过Init容器生成一个包含环境变量加载逻辑和原有启动命令的脚本，主容器直接执行该脚本即可：

1. 定义共享的emptyDir卷，用于传递生成的启动脚本；
2. Init容器查询镜像的ENTRYPOINT/CMD，生成包含source命令的启动脚本；
3. 主容器将该脚本作为启动入口。

示例Deployment配置：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      volumes:
        - name: secret-volume
          # 此处替换为你的Vault卷挂载配置
          persistentVolumeClaim:
            claimName: vault-secret-pvc
        - name: startup-script
          emptyDir: {}
      initContainers:
        - name: generate-startup-script
          image: alpine:latest
          command: ["sh", "-c"]
          args:
            - |
              # 查询镜像的ENTRYPOINT和CMD
              ENTRYPOINT=$(docker inspect --format='{{range .Config.Entrypoint}}{{.}} {{end}}' <你的镜像名称>)
              CMD=$(docker inspect --format='{{range .Config.Cmd}}{{.}} {{end}}' <你的镜像名称>)
              # 生成启动脚本
              cat > /startup-script/launch.sh <<EOF
              #!/bin/sh
              source /vault/secrets/some_file
              exec $ENTRYPOINT $CMD
              EOF
              chmod +x /startup-script/launch.sh
          volumeMounts:
            - name: secret-volume
              mountPath: /vault/secrets
            - name: startup-script
              mountPath: /startup-script
      containers:
        - name: main-app
          image: <你的镜像名称>
          command: ["/startup-script/launch.sh"]
          volumeMounts:
            - name: secret-volume
              mountPath: /vault/secrets
            - name: startup-script
              mountPath: /startup-script

如果Init容器无法访问Docker，你可以提前查询ENTRYPOINT/CMD的值，直接硬编码到Init容器的args中。

方法3：使用Vault Agent Injector直接注入环境变量（推荐） #

如果你的环境已经集成Vault，可以启用Vault Agent Injector，它会自动将Vault中的secret转为环境变量，无需手动处理挂载文件：
在Pod的注解中添加Vault相关配置，Agent会在主容器启动前自动加载环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
      annotations:
        vault.hashicorp.com/agent-inject: "true"
        vault.hashicorp.com/role: "你的Vault角色名称"
        # 指定要注入的secret路径
        vault.hashicorp.com/agent-inject-secret-env: "secret/data/your-secret-path"
        # 生成环境变量文件的模板
        vault.hashicorp.com/agent-inject-template-env: |
          {{- with secret "secret/data/your-secret-path" }}
          export AA="{{ .Data.data.AA }}"
          {{- end }}
    spec:
      containers:
        - name: main-app
          image: <你的镜像名称>

这种方法完全兼容任意镜像，无需修改容器的启动命令或挂载文件，由Vault Agent自动完成环境变量注入。

内容的提问来源于stack exchange，提问作者Amin Ba