如何在Helm Chart中定义发布全程保留的常量值以阻止升级时修改？

针对你遇到的「关键值修改导致服务损坏，需要可靠阻止升级变更」的问题，下面是符合Helm设计规范的解决方案，比lookup临时校验或pre-upgrade钩子更稳定：

核心方案：持久化关键值到集群资源，升级时自动校验 #

Helm本身没有原生的「发布级全局常量」机制，但可以通过将关键值持久化到带保护注解的ConfigMap/Secret，配合模板内的校验逻辑实现：

1. 创建带持久化保护的ConfigMap
   在Chart的templates目录下新增fixed-critical-value.yaml，定义一个仅首次安装创建、后续不会被Helm修改/删除的ConfigMap：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: {{ .Release.Name }}-critical-config
     annotations:
       # 告诉Helm永远保留这个资源，升级时不做任何修改或删除
       helm.sh/resource-policy: keep
   data:
     # 把安装时传入的关键值存入ConfigMap
     critical-value: {{ .Values.criticalValue | quote }}
   

   这个ConfigMap只会在第一次helm install时创建，后续helm upgrade过程中，Helm会因为resource-policy: keep的注解完全忽略它，确保存储的原始值不会被改动。

2. 在模板中添加升级校验逻辑
   在Chart的核心模板文件（比如templates/_helpers.tpl，或者某个必须渲染的资源模板顶部）加入校验代码，对比用户传入的新值和ConfigMap中存储的原始值：

   {{- /* 读取集群中存储的原始关键值 */ -}}
   {{- $storedCriticalValue := (lookup "v1" "ConfigMap" .Release.Namespace (printf "%s-critical-config" .Release.Name)).data.criticalValue }}
   {{- /* 对比当前传入值与原始值，不一致则终止升级 */ -}}
   {{- if ne $storedCriticalValue (.Values.criticalValue | quote) }}
     {{- fail (printf "ERROR: criticalValue cannot be modified. Current value: %s, Original value: %s" (.Values.criticalValue | quote) $storedCriticalValue) }}
   {{- end }}
   

   当用户执行helm upgrade并修改了criticalValue时，Helm在渲染模板阶段就会触发fail函数，直接抛出错误并终止升级流程，不会对集群资源做任何修改。

为什么这个方案更规范？ #

• 完全遵循Helm的资源生命周期规则：通过官方的helm.sh/resource-policy注解实现资源持久化，不是依赖钩子或外部脚本的临时方案。
• 校验逻辑内聚在Chart中：无需额外维护外部校验脚本，所有逻辑都属于Chart的一部分，便于版本管理和分发。
• 错误反馈直接明确：用户在执行升级命令时就能立即看到错误原因，无需去排查钩子日志或集群事件。

注意事项 #

• 确保Helm使用的ServiceAccount有读取ConfigMap的权限：如果是严格权限控制的集群，需要给Helm的ServiceAccount授予view角色（或仅允许读取ConfigMap的自定义权限）。
• 首次安装必须确认值的正确性：因为ConfigMap一旦创建就无法通过Helm修改，所以第一次安装时要确保criticalValue设置无误。

内容的提问来源于stack exchange，提问作者Itay Grudev