能否在ConfigMap中定义ExternalSecret的secretStoreRef.name并引用？

因为ExternalSecret本身不支持直接引用ConfigMap字段，所以得靠Kustomize在构建阶段完成值的替换，以下是两种适合你场景的方案：

方案1：用Replacements特性（推荐） #

这是Kustomize v4.1.0+支持的稳定特性，能直接从ConfigMap提取值替换到ExternalSecret的指定字段里，正好适配你单文件多环境的配置方式。

配置示例 #

假设你的基础ExternalSecret模板文件externalsecret.yaml是这样的：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: my-app-secrets
spec:
  secretStoreRef:
    kind: SecretStore
    name: placeholder  # 这里留占位符，Kustomize会替换
  # 其他配置...

然后在你的单文件多环境Kustomize配置里，每个环境块用---分隔，分别配置ConfigMap和Replacements：

# Dev环境配置块
---
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
resources:
- externalsecret.yaml

# 定义当前环境的ConfigMap，存secretStore名称
configMapGenerator:
- name: env-config
  literals:
  - secretStoreName=dev-azure-keyvault-store

# 配置替换规则：从ConfigMap取值替换ExternalSecret的字段
replacements:
- source:
    kind: ConfigMap
    name: env-config
    fieldPath: data.secretStoreName
  targets:
  - select:
      kind: ExternalSecret
      name: my-app-secrets
    fieldPaths:
    - spec.secretStoreRef.name

# Prod环境配置块
---
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
resources:
- externalsecret.yaml

configMapGenerator:
- name: env-config
  literals:
  - secretStoreName=prod-azure-keyvault-store

replacements:
- source:
    kind: ConfigMap
    name: env-config
    fieldPath: data.secretStoreName
  targets:
  - select:
      kind: ExternalSecret
      name: my-app-secrets
    fieldPaths:
    - spec.secretStoreRef.name

执行构建时，指定对应环境的配置块（比如kustomize build --load_restrictor=none，若要单独构建某环境可结合--selector过滤），Kustomize会自动把ConfigMap里的secretStoreName值替换到ExternalSecret的对应字段。

方案2：用Vars特性（兼容旧版Kustomize） #

如果你的Kustomize版本低于v4.1.0，可以用Vars特性，步骤类似：

配置示例 #

还是用同一个externalsecret.yaml模板，把占位符改成$(SECRET_STORE_NAME)：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: my-app-secrets
spec:
  secretStoreRef:
    kind: SecretStore
    name: $(SECRET_STORE_NAME)
  # 其他配置...

然后在每个环境的Kustomization块里配置Vars：

# Dev环境配置块
---
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
resources:
- externalsecret.yaml

configMapGenerator:
- name: env-config
  literals:
  - secretStoreName=dev-azure-keyvault-store

vars:
- name: SECRET_STORE_NAME
  objref:
    kind: ConfigMap
    name: env-config
    apiVersion: v1
  fieldref:
    fieldpath: data.secretStoreName

# 允许替换CRD字段（因为ExternalSecret是自定义资源）
configurations:
- kustomizeconfig.yaml

需要额外创建一个kustomizeconfig.yaml文件，允许Vars替换ExternalSecret的字段：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Configuration
varReference:
- path: spec/secretStoreRef/name
  kind: ExternalSecret

Prod环境的配置块和Dev类似，只需要修改ConfigMap里的secretStoreName值即可。

注意事项 #

• 如果你已经有现成的ConfigMap（不是用ConfigMapGenerator生成的），只需要把configMapGenerator换成configMap引用即可，替换规则不用改。
• 执行Kustomize构建时，确保正确指定要处理的环境配置块，避免多环境资源混淆。

内容的提问来源于stack exchange，提问作者cp5