如何在Kubernetes注解中使用Secret值？求助Kustomize实现方案

前提条件 #

确保你的Kustomize版本在v4.1.0及以上，因为replacements功能是从这个版本开始引入的。

步骤1：调整Secret定义（可选但推荐） #

把原Secret的data字段替换为stringData，这样可以用明文存储值，Kustomize构建时会自动将其编码为base64的data字段，和原Secret效果完全一致：

secret.yaml：

apiVersion: v1
kind: Secret
metadata:
  name: my-secret
type: Opaque
stringData:
  my-value: "test-data"  # 对应原base64值dGVzdC1kYXRh的明文

如果坚持使用原data字段，后续替换得到的会是base64编码字符串，若需要明文则需额外处理（不推荐，配置更复杂）。

步骤2：修改Service注解的占位符 #

给Service的注解设置明确的占位符，方便Kustomize识别并替换：

service.yaml：

apiVersion: v1
kind: Service
metadata:
  name: my-service
  annotations:
    my-annotation: '[{"key":"{{SECRET_VALUE}}"}]'  # 用{{SECRET_VALUE}}作为占位标记
spec:
  ports:  # Service必须包含spec字段，否则Kubernetes会报错
  - port: 80
    targetPort: 80

步骤3：编写Kustomization配置 #

创建kustomization.yaml，通过replacements规则实现跨资源值注入：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

# 引入需要管理的资源文件
resources:
  - secret.yaml
  - service.yaml

# 定义值替换规则
replacements:
- source:
    # 指定读取值的源资源
    kind: Secret
    name: my-secret
    fieldPath: stringData.my-value  # 读取Secret的明文值字段
  targets:
  - select:
      # 指定要注入值的目标资源
      kind: Service
      name: my-service
    fieldPaths:
    # 指定目标资源的字段路径
    - metadata.annotations.my-annotation
    options:
      # 用正则匹配占位符，替换为源资源的值
      regex: '{{SECRET_VALUE}}'
      replacement: '$source'

验证效果 #

运行以下命令构建资源，查看Service的注解是否已被正确替换：

kustomize build .

构建后的Service资源会输出：

apiVersion: v1
kind: Service
metadata:
  annotations:
    my-annotation: '[{"key":"test-data"}]'
  name: my-service
spec:
  ports:
  - port: 80
    targetPort: 80

注意事项 #

• 若Kustomize版本低于v4.1.0，需先升级版本，或使用第三方transformer插件（配置复杂度更高）。
• 若必须使用原Secret的data字段，将fieldPath改为data.my-value，此时替换后的注解值会是base64编码的dGVzdC1kYXRh。

内容的提问来源于stack exchange，提问作者aac