如何为Kubernetes所有命名空间创建Docker Registry Secret？

1. 给所有现有命名空间批量创建Secret #

可以通过Shell命令遍历当前集群的所有命名空间，批量生成并应用Secret配置，比逐个创建更高效：

kubectl get namespaces -o jsonpath='{.items[*].metadata.name}' | xargs -I {} kubectl create secret docker-registry myname --namespace {} --docker-server "my.server.com" --docker-username "user" --docker-password "pass" --dry-run=client -o yaml | kubectl apply -f -

这个命令会先为每个命名空间生成Secret的YAML配置，再一次性提交到集群，若目标命名空间已存在同名Secret，会自动跳过重复创建。

如果需要强制覆盖已存在的Secret，可改用以下命令：

kubectl get namespaces -o jsonpath='{.items[*].metadata.name}' | xargs -I {} kubectl create secret docker-registry myname --namespace {} --docker-server "my.server.com" --docker-username "user" --docker-password "pass" --replace

2. 自动为后续新建的命名空间创建Secret #

Kubernetes没有原生的"全局Secret"机制，需借助额外手段实现自动同步，以下是几种适合测试集群的方案：

方法一：定时同步脚本（简单易操作） #

写一个循环检查的Shell脚本，定期扫描新命名空间并自动创建Secret：

#!/bin/bash
SECRET_NAME="myname"
REGISTRY_SERVER="my.server.com"
REGISTRY_USER="user"
REGISTRY_PASS="pass"

while true; do
  # 获取集群所有命名空间
  ALL_NAMESPACES=$(kubectl get namespaces -o jsonpath='{.items[*].metadata.name}')
  # 获取已存在目标Secret的命名空间
  SECRET_EXIST_NS=$(kubectl get secrets --all-namespaces -o jsonpath='{.items[?(@.metadata.name=="'"$SECRET_NAME"'")].metadata.namespace}')
  
  # 找出未创建Secret的命名空间
  MISSING_NS=$(comm -23 <(echo "$ALL_NAMESPACES" | tr ' ' '\n' | sort) <(echo "$SECRET_EXIST_NS" | tr ' ' '\n' | sort))
  
  # 为缺失的命名空间创建Secret
  for NS in $MISSING_NS; do
    echo "Creating secret $SECRET_NAME in namespace $NS"
    kubectl create secret docker-registry $SECRET_NAME --namespace $NS --docker-server "$REGISTRY_SERVER" --docker-username "$REGISTRY_USER" --docker-password "$REGISTRY_PASS"
  done
  
  # 每5分钟检查一次
  sleep 300
done

将脚本保存为sync-secret.sh，赋予执行权限chmod +x sync-secret.sh后，可后台运行或配置成systemd服务，实现自动同步。

方法二：Mutating Admission Webhook（实时同步方案） #

如果需要更实时的同步效果，可以部署Mutating准入Webhook，当新命名空间创建时自动注入该Secret。这种方式需要编写Webhook服务并配置Kubernetes准入规则，适合需要长期稳定运行的场景，但配置相对复杂。

内容的提问来源于stack exchange，提问作者CodeMonkey