K8s Helm Chart中CHANGEME的含义及相关问题（Helm v3）

在查看Helm v3的Chart YAML文件时，经常会看到类似下面的changeme值：

rabbitmq.conf: |-
    ##username and password
    default_user={{.Values.rabbitmq.username}}
    default_pass=CHANGEME

或者：

config:
    accumuloSite:
      instance.secret: "changeme"
    userManagement:
      rootPassword: "changeme"

下面针对这些场景逐一解答问题：

1. changeme只是需要替换的占位符吗？未替换会有什么影响？ #

是的，绝大多数情况下changeme就是明确要求用户替换的占位符，并非自动生成密码的关键字。

未替换的影响分两种情况：

• 严重安全漏洞：如果直接用changeme作为密码/密钥部署，任何知道这个默认值的人都能轻易访问对应的服务，完全没有安全性可言。
• 服务启动失败：部分严格的服务会校验密码复杂度，拒绝使用changeme这类过于简单的默认值，直接启动报错。

2. changeme是让系统自动生成安全密码的关键字吗？ #

不是。如果Chart支持自动生成安全密码，通常会用Helm内置的模板函数实现，比如randAlphaNum生成随机字符串，示例如下：

default_pass={{ randAlphaNum 16 }}

或者在Chart的values.yaml里留空，再通过模板判断：如果用户没指定密码，就自动生成并存储到Kubernetes Secret中。

没有任何标准规定changeme是自动生成密码的触发关键字，遇到这个值就意味着必须由用户手动配置。

3. Chart如何将该值传递到依赖的其他服务？ #

分两种配置场景：

手动设置密码时 #

• 用户在部署前通过values.yaml或者helm install --set参数设置密码，比如：

  helm install my-release ./rabbitmq --set rabbitmq.password="my-secure-123-pass"
  

• Chart会将这个密码存入Kubernetes Secret资源中；
• 依赖服务如果是同一个Chart的子组件，可以直接在模板中引用{{ .Values.rabbitmq.password }}；如果是独立的Chart，需要用户将这个密码手动配置到依赖服务的values.yaml，或者通过环境变量、Volume挂载的方式读取对应的Secret内容。

自动生成密码时 #

• Chart会在模板中用randAlphaNum等函数生成随机密码，并存入Secret，同时通常会在Release的Notes中输出这个密码（方便用户查看）；
• 依赖服务如果是子Chart，父Chart可以将生成的密码通过Values传递给子Chart；如果是独立Chart，用户需要手动复制生成的密码到依赖服务的配置中，或者通过helm upgrade的--set参数传递。

内容的提问来源于stack exchange，提问作者ntg