如何在Kubernetes Secret中拼接随机生成的MongoDB密码至连接串

问题根源 #

Kubernetes原生Secret不支持字段间的变量插值，你尝试的%{MONGO_ROOT_PASS}语法和YAML锚点都无法实现字符串拼接。要达成需求，可通过以下几种方式解决：

方案1：通过Shell脚本预生成密码与连接串 #

编写脚本一次性生成密码、构建连接串并创建Secret，确保密码在两处一致：

#!/bin/bash
# 生成随机密码并进行base64编码
MONGO_ROOT_PASS=$(head -c 24 /dev/random | base64)
# 解码密码后拼接成连接串，再编码为base64
MONGO_DSN=$(echo -n "mongodb://root:$(echo "$MONGO_ROOT_PASS" | base64 -d)@mongodb-service:27017/db" | base64)
# 生成Secret配置文件
cat << EOF > mongo-secrets.yaml
apiVersion: v1
kind: Secret
metadata:
  name: mongo-secrets
type: Opaque
data:
  MONGO_ROOT_USER: $(echo -n "root" | base64)
  MONGO_ROOT_PASS: $MONGO_ROOT_PASS
  MONGO_DSN: $MONGO_DSN
EOF
# 应用Secret到集群
kubectl apply -f mongo-secrets.yaml

注意：将mongodb-service替换为你的MongoDB Service名称，Pod间无法通过localhost访问。

方案2：后端Pod启动时动态构建连接串 #

不预存完整连接串，而是将用户名和密码作为环境变量传入后端Pod，在容器启动时拼接成连接串：

后端Deployment示例片段：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: backend
spec:
  template:
    spec:
      containers:
      - name: backend
        image: your-backend-image
        env:
        - name: MONGO_ROOT_USER
          valueFrom:
            secretKeyRef:
              name: mongo-secrets
              key: MONGO_ROOT_USER
        - name: MONGO_ROOT_PASS
          valueFrom:
            secretKeyRef:
              name: mongo-secrets
              key: MONGO_ROOT_PASS
        # 自定义启动命令，拼接连接串后启动应用
        command: ["/bin/sh", "-c"]
        args:
        - |
          MONGO_DSN="mongodb://${MONGO_ROOT_USER}:${MONGO_ROOT_PASS}@mongodb-service:27017/db"
          export MONGO_DSN
          # 执行后端应用启动命令
          exec your-backend-start-command

此方案无需预生成连接串，密码只存储一次，安全性更高。

方案3：使用Kustomize生成带连接串的Secret #

通过Kustomize的命令生成能力，一次性生成一致的密码和连接串：

创建kustomization.yaml：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
secretGenerator:
- name: mongo-secrets
  type: Opaque
  literals:
  - MONGO_ROOT_USER=root
  commands:
  - name: MONGO_ROOT_PASS
    command: "sh -c 'head -c 24 /dev/random | base64'"
  - name: MONGO_DSN
    command: "sh -c 'PASS=$(head -c 24 /dev/random | base64); echo -n \"mongodb://root:$(echo $PASS | base64 -d)@mongodb-service:27017/db\" | base64'"

执行kubectl apply -k .即可生成Secret。

内容的提问来源于stack exchange，提问作者Himanshu Jaiswal