如何在Terraform中用Docker Hub访问令牌配置AKS认证Secret？

你用Docker Hub访问令牌配置Kubernetes Secret时的核心错误是：auth字段需要是用户名:访问令牌字符串的Base64编码值，而非直接拼接的明文。

正确的Terraform配置 #

将auth字段的值通过base64encode函数处理，替换你现有错误的配置：

resource "kubernetes_secret" "access-token" {
  metadata {
    name      = "docker-registry"
    namespace = "default"
  }
  type = "kubernetes.io/dockerconfigjson"
  data = {
    ".dockerconfigjson" = jsonencode({
      "auths": {
        "${var.docker_registry_server}": {
          "username": var.docker_user,
          "password": var.docker_token, # 访问令牌直接作为密码字段
          "auth": base64encode("${var.docker_user}:${var.docker_token}")
        }
      }
    })
  }
}

关键说明 #

1. Docker Hub访问令牌的使用逻辑：访问令牌本质是替代密码的凭证，所以可以直接填在password字段，同时auth字段必须是用户名:令牌的Base64编码——这和你用普通密码时的逻辑一致，只是把密码换成了令牌。
2. 为何之前的配置失败：你直接将明文拼接字符串或令牌本身赋值给auth，Kubernetes解析时无法正确解码出有效的认证信息，导致拉取私有镜像时认证失败，最终部署超时。

验证步骤 #

创建Secret后，执行以下命令确认内容是否正确：

kubectl get secret docker-registry --output="jsonpath={.data.\.dockerconfigjson}" | base64 --decode

正常输出的auth字段应该是用户名:令牌的Base64编码值，而非明文。

额外检查点 #

• 确保Docker Hub的访问令牌拥有目标私有镜像仓库的拉取权限（创建令牌时需选择对应仓库的权限）。
• 确认Deployment的image_pull_secrets名称与Secret的metadata.name完全一致（你的配置中是docker-registry，这部分没问题）。

内容的提问来源于stack exchange，提问作者Vincenzo