如何在Kubernetes CronJob的curl命令中正确引用Secret？

你的问题出在：${mySecret}是shell变量，但容器启动时这个变量根本不存在——Kubernetes不会自动把集群里的Secret直接替换成这个占位符，必须先把Secret注入到容器的环境变量或者挂载成文件，再在curl命令里正确引用。下面给两种可行的解决方案：

方案一：将Secret作为环境变量注入容器 #

把集群中的Secret导入成容器内的环境变量，再在curl命令里引用这个变量：

apiVersion: batch/v1 # 注意：CronJob的正确API版本是batch/v1，原配置里的myjob/v1是错误的
kind: CronJob
metadata:
  name: {{ .Values.name }}-cronjobs
spec:
  schedule: "0 * * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: my-job
            image: curlimages/curl
            # 从集群Secret中注入环境变量
            env:
            - name: MY_SECRET
              valueFrom:
                secretKeyRef:
                  name: 你的Secret名称 # 替换为你实际的Secret名字
                  key: 你的Secret键名 # 替换为Secret中存储值的键（比如Secret里的mySecret字段）
            command: ["sh", "-c", "curl --location --request POST \"http://myservice:8080/api/endpoint\" --header \"my-secret: $MY_SECRET\""]
          restartPolicy: OnFailure # 任务失败时重启，按需调整

方案二：将Secret挂载为文件读取 #

如果Secret内容较大，或者偏好文件方式，可以把Secret挂载成容器内的文件，再读取文件内容：

apiVersion: batch/v1
kind: CronJob
metadata:
  name: {{ .Values.name }}-cronjobs
spec:
  schedule: "0 * * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: my-job
            image: curlimages/curl
            volumeMounts:
            - name: secret-volume
              mountPath: /etc/secret
              readOnly: true
            # 通过cat命令读取挂载的Secret文件内容
            command: ["sh", "-c", "curl --location --request POST \"http://myservice:8080/api/endpoint\" --header \"my-secret: $(cat /etc/secret/mySecret)\""]
          # 定义挂载的Secret卷
          volumes:
          - name: secret-volume
            secret:
              secretName: 你的Secret名称
              items:
              - key: 你的Secret键名
                path: mySecret # 挂载后的文件名，对应上面的cat路径
          restartPolicy: OnFailure

额外注意事项 #

• 必须修正API版本：原配置里的myjob/v1是错误的，CronJob属于batch/v1组，不改会导致资源创建失败。
• 替换占位符：把配置里的你的Secret名称和你的Secret键名替换成你实际的Secret信息。
• 容器类型：原配置用了initContainers，如果这是唯一的任务，用containers更合适；如果确实需要作为初始化容器，也可以保留，但要确保容器运行完成后正常退出。

内容的提问来源于stack exchange，提问作者Cody M.