如何在Kubernetes中从Pod运行pgbench无需手动输入密码（CloudNativePG）

方案1：通过PGPASSWORD环境变量直接传递密码 #

直接在bash -c的命令里注入PGPASSWORD环境变量，这是最快捷的方式，不需要创建任何文件：

kubectl exec <pod-where I launch the bench> -- bash -c "PGPASSWORD=<your-password> pgbench -h <Host> -p <port> -U pgbench_user -j 1 -c 20 -T 20 pgbench_db"

如果密码包含特殊字符（比如$、!、*），需要用单引号包裹整个bash命令内容，避免被shell解析：

kubectl exec <pod-where I launch the bench> -- bash -c 'PGPASSWORD=<your-special-password> pgbench -h <Host> -p <port> -U pgbench_user -j 1 -c 20 -T 20 pgbench_db'

方案2：临时生成自定义路径的.pgpass文件 #

如果不想明文传递密码，可以临时生成一个.pgpass文件到Pod的临时目录（比如/tmp），然后通过PGPASSFILE指定路径执行，执行完成后删除：

kubectl exec <pod-where I launch the bench> -- bash -c "
echo '<Host>:<port>:pgbench_db:pgbench_user:<your-password>' > /tmp/pgbench.pgpass
chmod 600 /tmp/pgbench.pgpass
PGPASSFILE=/tmp/pgbench.pgpass pgbench -h <Host> -p <port> -U pgbench_user -j 1 -c 20 -T 20 pgbench_db
rm /tmp/pgbench.pgpass
"

这里把文件放到/tmp目录，不需要权限创建主目录的文件，执行完自动清理，避免密码残留。

方案3：通过Kubernetes Secret持久化密码文件（适合长期自动化） #

如果需要频繁执行测试，可以提前把密码存入Kubernetes Secret，然后挂载到执行pgbench的Pod中：

1. 创建包含.pgpass内容的Secret：

kubectl create secret generic pgbench-pass --from-literal=pgpass='<Host>:<port>:pgbench_db:pgbench_user:<your-password>'

2. 修改执行pgbench的Pod的Deployment/StatefulSet，挂载Secret到Pod的某个路径（比如/var/lib/pgpass）：

volumes:
  - name: pgbench-pass
    secret:
      secretName: pgbench-pass
      items:
        - key: pgpass
          path: pgbench.pgpass
          mode: 0600
volumeMounts:
  - name: pgbench-pass
    mountPath: /var/lib/pgpass
    readOnly: true

3. 之后执行pgbench时直接指定PGPASSFILE路径即可：

kubectl exec <pod-where I launch the bench> -- bash -c "PGPASSFILE=/var/lib/pgpass/pgbench.pgpass pgbench -h <Host> -p <port> -U pgbench_user -j 1 -c 20 -T 20 pgbench_db"

这个方案适合长期自动化测试，不需要每次传递密码，也避免了明文暴露。

内容的提问来源于stack exchange，提问作者Vicent Pons Llopis