如何将Secret对象存入Git Secrets并让部署Pod读取该Secret

一、让Deployment中的Pod读取Secret对象 #

Kubernetes的Secret用于存储敏感信息，Pod可通过两种常用方式读取：

1. 环境变量注入 #

修改deployment_app.yaml，在容器定义中添加环境变量，直接引用Secret的键值：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: app-container
        image: your-app-image:latest
        env:
          # 读取Secret单个键值作为环境变量
          - name: DB_PASSWORD
            valueFrom:
              secretKeyRef:
                name: your-secret-name  # 你的Secret对象名称
                key: db-password        # Secret中对应的键
          # 批量导入Secret所有键值为环境变量
          - name: API_TOKEN
            valueFrom:
              secretKeyRef:
                name: your-secret-name
                key: api-token

2. 卷挂载读取 #

将Secret挂载为Pod内的文件，容器通过读取文件获取敏感信息：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-deployment
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: app-container
        image: your-app-image:latest
        volumeMounts:
        - name: secret-volume
          mountPath: "/etc/secrets"  # 容器内挂载路径
          readOnly: true  # 设为只读提升安全性
      volumes:
      - name: secret-volume
        secret:
          secretName: your-secret-name  # 你的Secret对象名称
          # 可选：指定挂载Secret的特定键，映射为指定文件名
          items:
          - key: db-password
            path: db-pass.txt

二、用Git Secrets管理Secret内容 #

Git Secrets是用于防止敏感信息误提交到Git仓库的工具，操作步骤如下：

1. 安装Git Secrets #

• macOS：brew install git-secrets
• Linux：

  git clone https://github.com/awslabs/git-secrets.git
  cd git-secrets
  sudo make install
  

2. 仓库初始化Git Secrets #

进入代码仓库目录，执行：

git secrets --install
git secrets --register-aws  # 注册AWS通用敏感规则，也可自定义

3. 添加自定义敏感规则 #

针对你的Secret内容，添加匹配规则（比如包含密码、令牌的关键词）：

# 禁止提交包含"password:"的行
git secrets --add 'password:'
# 禁止提交包含"token:"的行
git secrets --add 'token:'

4. 排除Secret文件 #

如果你的Secret是单独的YAML文件（如secret.yaml），将其加入.gitignore避免误提交：

echo "secret.yaml" >> .gitignore

5. 扫描现有仓库 #

检查仓库及历史提交中是否存在敏感信息：

git secrets --scan
git secrets --scan-history

6. 提交自动校验 #

Git Secrets会在git commit时自动扫描提交内容，发现敏感信息直接阻止提交，避免误操作。

注意：Git Secrets仅负责拦截敏感信息提交，若需在CI/CD流程中使用Secret，建议配合Sealed Secrets等加密工具，将加密后的Secret文件存入Git，部署时再解密使用。

内容的提问来源于stack exchange，提问作者ask stack