如何正确编写YAML文件以按预期挂载Kubernetes Secret？

一、仅挂载mysecret的val1到/etc/myval文件的正确配置 #

要实现把Secret里的单个键挂载为指定文件，不能在secretName里拼接键名，而是要通过subPath和可选的items字段配置。以下是完整的secret-pod.yaml示例：

apiVersion: v1
kind: Pod
metadata:
  name: secret-pod
spec:
  containers:
  - name: my-container
    image: your-image:tag # 替换成你实际使用的镜像
    volumeMounts:
    - name: secret-volume
      mountPath: /etc/myval  # 直接指定目标文件路径，而非目录
      subPath: val1          # 指定要挂载的Secret中的键名
  volumes:
  - name: secret-volume
    secret:
      secretName: mysecret
      # 可选：限制Volume仅加载val1，避免其他键被加载（不写也能实现单文件挂载，但更严谨）
      items:
      - key: val1
        path: val1

关键说明：

• mountPath必须是目标文件的完整路径，而非目录，否则会把整个Secret挂载到目录下生成符号链接
• subPath用来指定要挂载的Secret键，确保只把val1的内容挂载到/etc/myval文件中
• 之前尝试的secretName: mysecret/val1是错误写法，secretName仅接受Secret的名称，不能拼接键名

二、指向..data/val...的符号链接是什么 #

这些符号链接是Kubernetes为实现Secret动态更新原子性的设计：

• 当你把整个Secret挂载到目录时，Kubernetes会在挂载目录下维护..data目录，这个目录存储着Secret的实际数据内容
• 每个Secret键对应的符号链接（如val1、val2）会指向..data目录下对应的文件
• 当Secret更新时，Kubernetes会创建一个新的..data目录（带版本标识），然后原子性地切换符号链接指向新目录，这样容器读取文件时不会遇到半更新的状态，保证数据一致性
• 如果你用上面的单文件挂载方式，就不会看到这些符号链接，因为直接把实际数据文件挂载到了目标路径

内容的提问来源于stack exchange，提问作者CaTx