Kubernetes挂载Secret卷失败：引用不存在的密钥keyfile

错误原因 #

1. Secret key不匹配：你在卷配置中指定的key: keyfile不存在于my-secret中。使用kubectl create secret generic my-secret --from-file=文件名.json创建Secret时，Secret的data字段中的key就是你本地文件的实际名称（也就是你看到的gd-hosting-production-4bb83363d2c2.json），而非自定义的keyfile。
2. 路径不一致：环境变量指定的路径/home/appuser/gcp-pubsub-subscriber-keyfile.json与卷挂载路径/home/appuser/my-keyfile.json不统一，导致应用找不到文件。

解决方案 #

方案1：修正卷配置匹配实际Secret key #

1. 确认Secret中的实际key：

kubectl get secret my-secret -o jsonpath='{.data}'

输出中显示的key（如gd-hosting-production-4bb83363d2c2.json）就是需要使用的key。

2. 修改Pod的卷配置，将items.key替换为实际的Secret key：

volumes:
  - name: my-volume
    secret:
      secretName: my-secret
      items:
        - key: gd-hosting-production-4bb83363d2c2.json
          path: my-keyfile.json

volumeMounts:
  - name: my-volume
    mountPath: /home/appuser/gcp-pubsub-subscriber-keyfile.json  # 与环境变量路径统一
    subPath: my-keyfile.json
    readOnly: true

3. 确保环境变量路径与挂载路径一致（如果上面已经改了mountPath，环境变量可以保持不变；或者也可以修改环境变量为/home/appuser/my-keyfile.json）。

方案2：重新创建带自定义key的Secret #

如果你希望使用keyfile作为Secret的key，可以重新创建Secret，指定自定义key：

kubectl create secret generic my-secret --from-file=keyfile=gd-hosting-production-4bb83363d2c2.json

此时原卷配置中的key: keyfile就会生效，只需修正环境变量与挂载路径的一致性即可：

# 环境变量修改为匹配挂载路径
- name: GOOGLE_APPLICATION_CREDENTIALS
  value: /home/appuser/my-keyfile.json

额外检查项 #

• 确认Secret与Pod处于同一命名空间，否则需在卷配置中添加namespace字段指定Secret所在命名空间。
• 确保容器镜像中存在/home/appuser目录，否则挂载时会因目录不存在报错。

内容的提问来源于stack exchange，提问作者teej2542