如何在Spring Cloud Dataflow部署的Spring Batch中读取Kubernetes Secret

1. 先创建目标Kubernetes Secret #

如果还没有可用的K8s Secret，可通过命令快速创建示例Secret：

kubectl create secret generic db-secret --from-literal=db-password=myStrongPassword123

2. 方式一：通过环境变量注入Secret #

在Spring Cloud Dataflow部署Batch应用时，通过部署属性将Secret映射为应用可直接读取的环境变量：

• 部署时添加以下配置（替换<app-name>为你的Batch应用名称）：

  deployer.<app-name>.kubernetes.environment-variables.DB_PASSWORD=secret:db-secret/db-password
  

  其中secret:db-secret/db-password表示从名为db-secret的Secret中读取db-password键对应的值，注入为DB_PASSWORD环境变量。
• 在Spring Batch应用中读取该变量：

  @Value("${DB_PASSWORD}")
  private String dbPassword;
  

3. 方式二：通过卷挂载读取Secret文件 #

将Secret以文件形式挂载到容器文件系统，再在应用中读取文件内容：

• 部署时添加卷和挂载配置：

  # 定义关联Secret的卷
  deployer.<app-name>.kubernetes.volumes[0].name=db-secret-volume
  deployer.<app-name>.kubernetes.volumes[0].secret.secretName=db-secret
  # 将卷挂载到容器指定路径
  deployer.<app-name>.kubernetes.volumeMounts[0].name=db-secret-volume
  deployer.<app-name>.kubernetes.volumeMounts[0].mountPath=/etc/secrets/db
  deployer.<app-name>.kubernetes.volumeMounts[0].readOnly=true
  

• 在Spring Batch应用中读取文件内容：

  import java.nio.file.Files;
  import java.nio.file.Paths;
  
  // 读取挂载文件中的Secret值
  String dbPassword = new String(Files.readAllBytes(Paths.get("/etc/secrets/db/db-password")));
  

4. 权限配置注意事项 #

确保Dataflow的服务账号具备读取目标Secret的权限，可通过以下YAML创建Role和RoleBinding（替换对应命名空间和服务账号名）：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: secret-reader
  namespace: default
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list"]
  resourceNames: ["db-secret"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: dataflow-secret-reader
  namespace: default
subjects:
- kind: ServiceAccount
  name: dataflow-server
  namespace: default
roleRef:
  kind: Role
  name: secret-reader
  apiGroup: rbac.authorization.k8s.io

内容的提问来源于stack exchange，提问作者Emilio Salas