如何在Kubernetes Job环境变量中使用GitHub Actions密钥？

这里提供两种实用方案，根据你的需求选择：

方案1：使用envsubst直接替换YAML占位符 #

这种方法适合快速将GitHub Secrets注入到Job的环境变量中，无需额外创建K8s资源。

步骤1：准备Job模板文件 #

创建一个带占位符的模板文件（比如job-template.yaml），占位符用${变量名}格式：

# job-template.yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: db-processing-job
spec:
  template:
    spec:
      containers:
      - name: db-worker
        image: your-app-image:latest
        env:
        - name: DB_HOST
          value: "${DB_HOST}"
        - name: DB_PORT
          value: "${DB_PORT}"
        # 其他需要的环境变量
      restartPolicy: OnFailure

步骤2：更新GitHub Actions Workflow #

在Workflow中导出Secrets到环境变量，用envsubst替换模板占位符后部署：

name: Deploy K8s Job
on:
  push:
    branches: [ main ]

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Set up kubectl
        uses: azure/setup-kubectl@v3

      - name: Configure cluster access
        run: |
          # 替换为你的集群配置方式，比如从GitHub Secret加载KUBECONFIG
          echo "${{ secrets.KUBECONFIG_CONTENT }}" > ~/.kube/config
          kubectl config use-context your-cluster-name

      - name: Inject secrets and deploy Job
        run: |
          # 导出GitHub Secrets到当前Shell环境
          export DB_HOST="${{ secrets.DB_HOST }}"
          export DB_PORT="${{ secrets.DB_PORT }}"
          # 替换模板中的占位符，生成最终的Job配置文件
          envsubst < job-template.yaml > job.yaml
          # 部署到Kubernetes集群
          kubectl apply -f job.yaml

方案2：创建Kubernetes Secret后引用 #

这种方法更安全，敏感数据存储在K8s Secret中，Job通过引用Secret获取环境变量，适合多Pod共享敏感信息的场景。

步骤1：更新Workflow，创建K8s Secret #

在Workflow中先从GitHub Secrets创建K8s Secret：

- name: Create DB secrets in Kubernetes
        run: |
          kubectl create secret generic db-credentials \
            --from-literal=DB_HOST="${{ secrets.DB_HOST }}" \
            --from-literal=DB_PORT="${{ secrets.DB_PORT }}" \
            --dry-run=client -o yaml | kubectl apply -f -

步骤2：修改Job配置引用Secret #

修改job.yaml，通过envFrom引用刚创建的Secret：

apiVersion: batch/v1
kind: Job
metadata:
  name: db-processing-job
spec:
  template:
    spec:
      containers:
      - name: db-worker
        image: your-app-image:latest
        envFrom:
        - secretRef:
            name: db-credentials
      restartPolicy: OnFailure

步骤3：Workflow中部署Job #

在Workflow中直接部署这个Job配置：

- name: Deploy Job to cluster
        run: kubectl apply -f job.yaml

关键注意事项 #

• 确保你的GitHub Actions runner有权限访问目标Kubernetes集群（通常通过KUBECONFIG内容作为GitHub Secret传入）。
• 使用--dry-run=client创建Secret时，避免重复创建导致报错，同时保证配置幂等。
• 两种方案中，敏感数据都不会明文出现在Git历史或Workflow日志中（GitHub会自动屏蔽Secrets内容）。

内容的提问来源于stack exchange，提问作者ziv ziv