如何在Kubernetes中把Secret挂载到/etc目录级别？

现有两个Kubernetes配置文件：

secret.yaml #

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  val1: YXNkZgo=
stringData:
  val1: asdf

secret-pod.yaml（初始版本） #

apiVersion: v1
kind: Pod
metadata:
  name: mysecretpod
spec:
  containers:
  - name: mypod
    image: nginx
    volumeMounts:
    - name: myval
      mountPath: /etc/secret
      readOnly: true
  volumes:
  - name: myval
    secret:
      secretName: val1  # 注：此处存在错误，应为mysecret，初始运行成功推测已修正该问题
      items:
      - key: val1
        path: myval

应用配置后，通过kubectl exec -it mysecretpod -- cat /etc/secret/myval可获取内容asdf。

修改secret-pod.yaml的volumeMounts配置为：

volumeMounts:
- name: myval
  mountPath: /etc
  readOnly: true

重新应用后，Pod进入CrashLoopBackOff状态，通过kubectl describe pods mysecretpod发现错误原因是挂载/etc/resolv.conf时提示只读文件系统，导致容器启动失败。

1. 为何出现CrashLoopBackOff状态？ #

当将Secret直接挂载到/etc目录时，Kubernetes会用Secret的内容覆盖整个/etc目录，原容器中用于DNS配置的/etc/resolv.conf会被替换，且挂载的Secret卷是只读模式。Nginx容器启动过程中需要正常访问网络配置文件，此时因目录只读且原配置文件丢失，导致容器初始化失败，反复重启进入CrashLoopBackOff状态。

2. 能否将Secret挂载到/etc目录级别？如何实现？ #

可以实现，但不能直接覆盖整个/etc目录，需使用子路径（subPath）挂载，仅将Secret中的特定文件挂载到/etc下的指定路径，保留原/etc目录的其他文件。

修改后的secret-pod.yaml示例：

apiVersion: v1
kind: Pod
metadata:
  name: mysecretpod
spec:
  containers:
  - name: mypod
    image: nginx
    volumeMounts:
    - name: myval
      mountPath: /etc/myval  # 挂载到/etc下的myval文件
      subPath: myval  # 对应Secret卷中定义的文件路径
      readOnly: true
  volumes:
  - name: myval
    secret:
      secretName: mysecret  # 修正为正确的Secret名称
      items:
      - key: val1
        path: myval

关键说明： #

• subPath参数用于指定仅挂载Secret卷中的特定文件，而非覆盖整个目标目录，这样原/etc下的resolv.conf等文件可正常保留和访问。
• 若需将Secret内容挂载为/etc下的其他文件名，只需修改mountPath为对应路径（如/etc/config）即可。

内容的提问来源于stack exchange，提问作者CaTx