如何从AWS Secrets Manager动态注入环境变量到K8s Job.yaml？

以下是几种将env.yaml中的环境变量渲染到Kubernetes Job.yaml的实用方案：

方案一：使用Helm模板渲染 #

Helm是Kubernetes的包管理工具，天生支持基于配置文件渲染资源模板，适合流水线场景：

1. 准备Helm模板结构
   创建基础Helm chart结构，templates/job.yaml作为Job的模板文件，你的env.yaml可直接作为自定义values文件传入。

   Job模板示例（templates/job.yaml）：

   apiVersion: batch/v1
   kind: Job
   metadata:
     name: my-job
   spec:
     template:
       spec:
         containers:
         - name: my-container
           image: my-image:latest
           env:
           {{- range $key, $val := .Values }}
           - name: {{ $key }}
             value: {{ $val | quote }}
           {{- end }}
         restartPolicy: Never
   

2. 流水线中执行渲染
   假设env.yaml内容为：

   DB_HOST: db.example.com
   DB_PORT: "5432"
   API_KEY: abc123
   

   执行Helm命令生成最终Job.yaml：

   helm template my-release ./my-chart --values env.yaml > rendered-job.yaml
   

   生成的文件会自动将env.yaml中的变量填充到Job的env字段。

方案二：使用Kustomize实现变量注入 #

Kustomize可通过ConfigMap/Secret或变量替换功能实现环境变量注入：

方法A：通过ConfigMap挂载环境变量 #

1. 配置kustomization.yaml和资源文件
   kustomization.yaml示例：

   apiVersion: kustomize.config.k8s.io/v1beta1
   kind: Kustomization
   configMapGenerator:
   - name: job-env
     files:
     - env.yaml
   resources:
   - job.yaml
   

   Job.yaml示例：

   apiVersion: batch/v1
   kind: Job
   metadata:
     name: my-job
   spec:
     template:
       spec:
         containers:
         - name: my-container
           image: my-image:latest
           envFrom:
           - configMapRef:
               name: job-env
         restartPolicy: Never
   

2. 流水线中执行渲染
   运行kustomize生成最终资源：

   kustomize build ./kustomize-dir > rendered-job.yaml
   

方法B：使用Kustomize Vars直接替换 #

若需将变量直接写入Job的env字段，可使用Vars功能：

kustomization.yaml示例：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
vars:
- name: DB_HOST
  objref:
    kind: ConfigMap
    name: job-env
    apiVersion: v1
  fieldref:
    fieldpath: data.DB_HOST
- name: DB_PORT
  objref:
    kind: ConfigMap
    name: job-env
    apiVersion: v1
  fieldref:
    fieldpath: data.DB_PORT
resources:
- job.yaml
configMapGenerator:
- name: job-env
  files:
  - env.yaml

Job.yaml中引用变量：

apiVersion: batch/v1
kind: Job
metadata:
  name: my-job
spec:
  template:
    spec:
      containers:
      - name: my-container
        image: my-image:latest
        env:
        - name: DB_HOST
          value: $(DB_HOST)
        - name: DB_PORT
          value: $(DB_PORT)
      restartPolicy: Never

方案三：使用yq命令行工具直接替换 #

若不想依赖Helm或Kustomize，可使用yq（YAML处理工具）直接修改Job.yaml：

假设原始Job.yaml的env字段为空：

apiVersion: batch/v1
kind: Job
metadata:
  name: my-job
spec:
  template:
    spec:
      containers:
      - name: my-container
        image: my-image:latest
        env: []
      restartPolicy: Never

执行yq命令注入变量：

yq eval '.spec.template.spec.containers[0].env = [load("env.yaml") | to_entries[] | {name: .key, value: .value}]' job.yaml > rendered-job.yaml

注：若env.yaml为嵌套结构，需调整yq表达式适配。

内容的提问来源于stack exchange，提问作者Akshay Gopani