使用Kustomize运行一次性Job时的Secret哈希识别问题

方法1：将Job纳入同一Overlay构建（推荐） #

把Job配置加入到overlays/dev/kustomization.yaml的资源列表中，让Kustomize在同一构建流程里自动处理Secret名称的关联替换。

修改overlays/dev/kustomization.yaml：

resources:
- ../../base/postgres.yaml
- ../../jobs/postgres-cli.yaml  # 添加Job资源

secretGenerator:
- name: postgres-secrets
  files:
  - postgres-secrets.properties

之后执行一次命令完成部署：

kubectl apply -k ./overlays/dev

Kustomize会自动把Job配置里引用的postgres-secrets替换成生成的带哈希后缀的实际Secret名称。

方法2：使用Kustomize Vars传递Secret名称 #

如果需要保持Job目录独立，可以通过vars机制动态获取生成的Secret名称。

1. 在overlays/dev/kustomization.yaml中定义变量，获取带哈希的Secret名称：

secretGenerator:
- name: postgres-secrets
  files:
  - postgres-secrets.properties

vars:
- name: POSTGRES_SECRET_NAME
  objref:
    kind: Secret
    name: postgres-secrets
    apiVersion: v1
  fieldref:
    fieldpath: metadata.name

2. 修改jobs/postgres-cli.yaml，用变量替代固定的Secret名称：

# Job配置示例片段
spec:
  template:
    spec:
      containers:
      - name: postgres-cli
        env:
        - name: POSTGRES_PASSWORD
          valueFrom:
            secretKeyRef:
              name: $(POSTGRES_SECRET_NAME)  # 使用变量
              key: password
      restartPolicy: OnFailure

3. 在jobs/kustomization.yaml中启用变量替换：

resources:
- postgres-cli.yaml

vars:
- name: POSTGRES_SECRET_NAME
  objref:
    kind: Secret
    name: postgres-secrets
    apiVersion: v1

configurations:
- kustomizeconfig.yaml  # 需创建配置文件允许变量替换

配套的kustomizeconfig.yaml内容：

varReference:
- path: spec/template/spec/containers/env/valueFrom/secretKeyRef/name
  kind: Job

最后执行构建时，将Overlay和Job目录一起纳入：

kubectl apply -k ./overlays/dev -k ./jobs

方法3：禁用Secret哈希后缀（不推荐） #

通过generatorOptions关闭Secret名称的哈希后缀，让生成的Secret名称保持为postgres-secrets，但此方法会丢失Kustomize自动更新Secret的能力（内容变化时需手动删除旧Secret）。

修改overlays/dev/kustomization.yaml：

secretGenerator:
- name: postgres-secrets
  files:
  - postgres-secrets.properties

generatorOptions:
  disableNameSuffixHash: true

内容的提问来源于stack exchange，提问作者Ron