如何在Helm中结合ConfigMap与Secret安全部署含敏感数据的config.yaml

核心思路 #

用ConfigMap存储非敏感的config.yaml模板（含敏感字段占位符），Secret存储加密的敏感数据，通过InitContainer将模板与敏感数据合并为最终的config.yaml，挂载到主容器指定路径。既避免values.yaml明文存密码，又能生成符合要求的完整配置文件。

步骤1：创建带占位符的ConfigMap（存储非敏感配置模板） #

将config.yaml中非敏感的内容保留，敏感字段（如密码）用占位符标记，存入ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config-template
data:
  config.yaml.tpl: |
    app:
      port: 8080
      log_level: info
    database:
      host: db.example.com
      username: app-user
      password: ${DB_PASSWORD}  # 占位符，后续用Secret中的值替换

步骤2：创建Secret存储敏感数据 #

用stringData字段直接写入明文密码（K8s会自动转为Base64存储），无需手动编码：

apiVersion: v1
kind: Secret
metadata:
  name: app-secrets
stringData:
  db-password: "your-secure-password"

Helm中可通过加密工具（如helm-secrets）对values.yaml里的敏感字段加密，部署时自动解密注入Secret，避免明文泄露。

步骤3：在Deployment中用InitContainer合并配置 #

通过InitContainer读取ConfigMap的模板和Secret的敏感数据，用envsubst替换占位符，生成最终的config.yaml，挂载到主容器的指定路径：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: my-app
    spec:
      # 初始化容器：合并模板与敏感数据
      initContainers:
      - name: config-builder
        image: alpine:latest  # 带envsubst命令的轻量镜像
        command:
        - sh
        - -c
        - envsubst < /config-template/config.yaml.tpl > /final-config/config.yaml
        env:
        # 从Secret注入敏感数据到环境变量
        - name: DB_PASSWORD
          valueFrom:
            secretKeyRef:
              name: app-secrets
              key: db-password
        volumeMounts:
        - name: config-template
          mountPath: /config-template
        - name: final-config
          mountPath: /final-config
      # 主应用容器
      containers:
      - name: my-app
        image: your-app-image:latest
        env:
        - name: CONFIG_PATH
          value: /myapp/config/config.yaml  # 匹配需求的路径
        volumeMounts:
        - name: final-config
          mountPath: /myapp/config  # 将合并后的配置挂载到指定路径
      # 定义共享卷
      volumes:
      - name: config-template
        configMap:
          name: app-config-template
      - name: final-config
        emptyDir: {}  # 临时存储合并后的配置，Pod重启会重新生成

关键优势 #

1. 敏感数据隔离：密码仅存于Secret，Helm values.yaml无需明文存储，可通过加密工具管理敏感字段。
2. 配置完整性：最终生成的是完整的config.yaml，完全符合应用对配置路径的要求。
3. 轻量易维护：无需复杂工具，用基础的K8s资源和InitContainer即可实现。

内容的提问来源于stack exchange，提问作者windowws