部署至Kubernetes时如何安全存储appsettings.json及流水线前置存储方法

1. DevOps平台内置安全存储（首推） #

不管你用GitHub、GitLab、Azure DevOps还是其他主流DevOps工具，它们都自带加密的变量/安全文件存储功能，这是最省心的方案：

• 加密变量方式：把appsettings.json的完整内容复制到平台的加密变量（比如命名为APPSETTINGS_JSON），流水线里直接把变量内容写入临时文件，再生成Secret：

  echo "$APPSETTINGS_JSON" > appsettings.json
  kubectl create secret generic appsettings-secret --from-file=appsettings.json
  

• 安全文件方式：直接上传加密后的appsettings.json到平台的安全文件库，流水线执行时下载到工作目录，直接用它生成Secret就行。

2. 加密后存代码仓库 #

如果非要把文件存在代码仓库里，必须先加密：

• 用git-crypt或者age这类工具加密appsettings.json，加密后的文件可以正常提交到仓库。
• 流水线里需要先解密文件才能使用，解密密钥要单独存在DevOps平台的安全存储里（绝对不能提交到仓库）：

  # 以git-crypt为例，流水线中解密
  git-crypt unlock /path/to/secret-key
  kubectl create secret generic appsettings-secret --from-file=appsettings.json
  

3. 外部密钥管理服务（KMS） #

如果团队有专门的密钥管理系统，比如HashiCorp Vault、AWS Secrets Manager，也可以把appsettings.json存在这里：

• 把文件内容作为一个密钥条目存入KMS，流水线通过KMS的CLI或API拉取内容并写入临时文件：

  # 示例：用Vault拉取内容
  vault kv get -field=data secret/appsettings > appsettings.json
  kubectl create secret generic appsettings-secret --from-file=appsettings.json
  

• 注意要给流水线配置KMS的访问权限，比如用服务账号密钥或者角色授权，确保能安全读取。

关键注意点 #

• 绝对不能把未加密的appsettings.json提交到任何代码仓库，不管是公开还是内部的，避免敏感信息泄露。
• 流水线里生成的临时appsettings.json，用完要立即删除，别留在构建节点上。
• 优先选DevOps平台内置的安全存储，不用额外搭工具，配置也简单。

内容的提问来源于stack exchange，提问作者agungardiyanta