如何在Kubernetes中创建应用时自动生成随机密码到Secrets？

你完全可以实现创建应用时自动生成随机密码的需求，之前对secretGenerator的理解有点片面——它确实会生成带随机后缀的Secret名称，但只要搭配一些工具或者配置，就能同时生成随机的密码值。下面给你几种实用的方案：

方案一：用kubectl命令直接生成随机Secret #

这是最直接的方式，不需要写静态YAML文件，直接通过kubectl create secret结合随机字符串生成工具（比如openssl）来创建：

kubectl create secret generic app-secrets \
  --from-literal=root=$(openssl rand -hex 16) \
  --from-literal=user1=$(openssl rand -hex 16) \
  --from-literal=user2=$(openssl rand -hex 16)

• openssl rand -hex 16会生成一个32位的十六进制随机字符串（16字节转十六进制），你可以调整数字来改变密码长度
• 每次运行这个命令都会生成全新的随机密码，完全不需要手动输入
• 如果需要固定Secret名称，这个命令生成的名称就是你指定的app-secrets，不会带随机后缀

方案二：用Kustomize的secretGenerator生成随机值 #

如果你用Kustomize管理Kubernetes配置，可以在kustomization.yaml里配置secretGenerator，结合命令替换来生成随机密码：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

secretGenerator:
- name: app-secrets
  literals:
  - root=$(openssl rand -hex 16)
  - user1=$(openssl rand -hex 16)
  - user2=$(openssl rand -hex 16)
  type: Opaque

# 如果不需要Secret名称带随机后缀，加上下面的配置
generatorOptions:
  disableNameSuffixHash: true

然后运行以下命令应用配置：

kustomize build . | kubectl apply -f -

每次执行kustomize build时，都会重新生成随机密码，保证每个实例的密码都是独立的。

方案三：用Helm模板自动生成（适合Helm部署场景） #

如果你的应用是用Helm管理的，可以利用Helm内置的模板函数randAlphaNum来生成随机字符串，比如在Secret模板里：

apiVersion: v1
kind: Secret
metadata:
  name: app-secrets
type: Opaque
stringData:
  root: {{ randAlphaNum 16 }}
  user1: {{ randAlphaNum 16 }}
  user2: {{ randAlphaNum 16 }}

• randAlphaNum 16会生成包含字母和数字的16位随机字符串
• 每次执行helm install或helm upgrade时，只要没有通过values.yaml手动指定密码，就会自动生成新的随机值
• 如果需要自定义密码，只需要在values.yaml里添加对应的字段，模板会优先使用你提供的值

补充说明 #

你之前觉得secretGenerator只能生成随机名称，其实是没用到它结合外部工具的能力——通过命令替换或者模板函数，它完全可以帮你生成随机的Secret值。这些方案都解决了静态Secret文件不安全、手动生成密码麻烦的问题，你可以根据自己的部署流程选择最适合的方式。

内容的提问来源于stack exchange，提问作者Baptiste Mille-Mathias