如何在Cloud Deploy流水线中为Kubernetes集群注入对应环境Secret？

方案1：用Skaffold环境变量渲染动态引用Secret #

完全可以通过Skaffold的变量替换实现你想要的效果，具体步骤如下：

• 在Kubernetes Deployment配置中保留变量占位符，比如你给出的示例：

  envFrom:
    - secretRef:
        name: ${env}-api
  

• 在skaffold.yaml中通过profile绑定不同环境的变量值：

  apiVersion: skaffold/v2beta20
  kind: Config
  build:
    artifacts:
    - image: gcr.io/your-project/api-image
  deploy:
    kubectl:
      manifests:
      - k8s/deployment.yaml
  # 为每个环境定义专属profile
  profiles:
  - name: staging
    deploy:
      kubectl:
        flags:
          apply: ["--set-env=env=staging"]
  - name: production
    deploy:
      kubectl:
        flags:
          apply: ["--set-env=env=production"]
  

• 在Cloud Deploy的流水线步骤中，针对不同部署阶段执行对应profile的Skaffold命令：

  # 部署到staging环境
  skaffold deploy --profile staging
  # 部署到production环境
  skaffold deploy --profile production
  

方案2：结合Cloud Deploy与Kustomize实现环境隔离（推荐最佳实践） #

如果你的环境配置差异较多，Kustomize（Kubernetes官方配置管理工具）结合Cloud Deploy的方案更易维护，步骤如下：

1. 规划目录结构：

   k8s/
   ├── base/
   │   ├── deployment.yaml  # 通用Deployment配置
   │   └── kustomization.yaml
   └── overlays/
       ├── staging/
       │   └── kustomization.yaml
       └── production/
           └── kustomization.yaml
   

2. 编写base通用配置：

   # k8s/base/deployment.yaml
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: api-deployment
   spec:
     template:
       spec:
         containers:
         - name: api-container
           image: gcr.io/your-project/api-image
           envFrom:
           - secretRef:
               name: base-api  # 通用占位符
   

3. 为每个环境编写overlay配置：
   • staging环境的overlay（替换Secret名称）：

     # k8s/overlays/staging/kustomization.yaml
     apiVersion: kustomize.config.k8s.io/v1beta1
     kind: Kustomization
     resources:
     - ../../base
     patches:
     - patch: |-
         - op: replace
           path: /spec/template/spec/containers/0/envFrom/0/secretRef/name
           value: staging-api
       target:
         kind: Deployment
         name: api-deployment
     

   • production环境的overlay同理，将value设为production-api即可。
4. Cloud Deploy流水线绑定对应overlay：
   在Cloud Deploy的delivery pipeline配置中，为每个target（staging/production）指定对应的Kustomize overlay路径，或者在Cloud Build步骤中执行：

   # 部署staging环境
   kubectl apply -k k8s/overlays/staging
   # 部署production环境
   kubectl apply -k k8s/overlays/production
   

补充说明 #

• 如果你用Cloud Deploy的自动化流水线，可以在每个target的自定义执行步骤中，传递对应环境的标识，确保Skaffold或Kustomize加载正确的配置。
• Kustomize方案的优势在于：环境配置差异集中在overlay目录，便于版本控制，且能处理更多复杂的环境差异（比如资源副本数、镜像标签等），比单纯的环境变量扩展性更强。

内容的提问来源于stack exchange，提问作者Lucien Perouze