Kubernetes中PostgreSQL无法从Secret读取POSTGRES_USER/POSTGRES_DB问题

问题现象 #

已验证以下配置均能正常工作：

• 环境变量中硬编码POSTGRES_PASSWORD
• 通过valueFrom: secretKeyRef从Secret获取POSTGRES_PASSWORD
• 环境变量中硬编码POSTGRES_USER或POSTGRES_DB

但尝试从Secret读取POSTGRES_USER或POSTGRES_DB时始终失败，每次尝试后已清理PV并重新生成Pod。

期望配置 #

Deployment片段 #

containers:
  - name: postgresql
    image: postgres
    imagePullPolicy: "IfNotPresent"
    # ports:
    #     - containerPort: 5432
    env:
    - name: POSTGRES_DB
      value: whatever
    - name: POSTGRES_USER
      # value: login
      valueFrom:
          secretKeyRef:
              name: postgresql-credentials
              key: username
    - name: POSTGRES_PASSWORD
      # value: pass
      valueFrom:
          secretKeyRef:
              name: postgresql-credentials
              key: password

Secret配置 #

apiVersion: v1
kind: Secret
data:
    username: dXNlcgo=
    password: cGFzcwo=
metadata:
    name: postgresql-credentials

排查与解决办法 #

• 清理Secret数据中的换行符
  当前Secret里的username解码后是user\n，password解码后是pass\n，带了多余的换行符。PostgreSQL对环境变量内容有严格要求，换行符会导致初始化失败。重新生成编码时加上-n参数去掉换行：

  echo -n "user" | base64  # 生成无换行的编码
  echo -n "pass" | base64
  

  替换Secret中对应的值后重新应用配置。

• 确认Namespace一致性
  检查Deployment和Secret是否在同一个Namespace下。如果不在同一Namespace，需要在secretKeyRef中添加namespace字段指定Secret所在的Namespace：

  valueFrom:
      secretKeyRef:
          name: postgresql-credentials
          key: username
          namespace: secret-namespace  # 替换为实际的Namespace
  

• 查看Pod启动日志
  通过kubectl logs <你的Pod名称>查看PostgreSQL的初始化日志，日志会明确输出失败原因，比如用户名字符非法、配置读取异常等，根据日志精准定位问题。

• 验证环境变量读取结果
  如果Pod能进入，执行echo $POSTGRES_USER和echo $POSTGRES_DB查看环境变量值，确认是否正确读取了Secret内容；如果Pod无法启动，可临时添加一个调试容器挂载同一个Secret，验证读取是否正常。

内容的提问来源于stack exchange，提问作者user16255942