如何将Jenkins凭证文件挂载到Kubernetes Deployment中

你之前用stringData创建字符串类型Secret的逻辑完全可以复用在文件凭证场景——本质上配置文件就是多行格式的字符串，stringData原生支持明文传入多行内容，K8s会自动完成base64编码，不需要手动转码。

1. Jenkins 侧获取文件凭证并创建Secret #

withCredentials绑定文件类型凭证时，注入的变量值是Jenkins工作区中临时凭证文件的绝对路径，你只需要读取该文件的完整内容，填入Secret模板对应字段即可，Pipeline参考片段如下：

pipeline {
  agent any
  environment {
    // 替换成你自己的凭证ID
    APP_CRED_ID = 'your-app-config-file-id'
  }
  stages {
    stage('Deploy to K8s') {
      steps {
        withCredentials([file(credentialsId: "${APP_CRED_ID}", variable: 'TEMP_CONF_PATH')]) {
          // 读取临时凭证文件内容，指定正确的文件编码避免乱码
          def confContent = readFile(file: "${TEMP_CONF_PATH}", encoding: 'UTF-8')
          // 渲染Secret YAML并应用到K8s集群
          sh """
          cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Secret
metadata:
  name: app-config-secret
  labels:
    project: example
type: Opaque
stringData:
  # 这里的key就是后续挂载到容器内的文件名，可按需自定义
  config.yaml: |
${confContent.stripIndent().readLines().collect { "    ${it}" }.join('\n')}
EOF
          """
          // 后续执行Deployment部署逻辑
          sh 'kubectl apply -f deployment.yaml'
        }
      }
    }
  }
}

注意：多行内容插入YAML时要处理好缩进，否则会导致YAML格式校验失败。withCredentials块执行结束后，Jenkins会自动删除本地临时凭证文件，无敏感信息残留风险。

2. Deployment 配置Secret挂载 #

Pod启动前Kubelet会自动把关联的Secret内容挂载到指定路径，不需要在容器启动命令里加额外加载逻辑，Deployment配置参考如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: example-app
  labels:
    project: example
spec:
  replicas: 2
  selector:
    matchLabels:
      app: example-app
  template:
    metadata:
      labels:
        app: example-app
    spec:
      containers:
      - name: app
        image: your-app-image:v1.0.0
        # 声明卷挂载
        volumeMounts:
        - name: app-config-vol
          # 容器内配置文件的目标路径，和应用读取配置的路径保持一致
          mountPath: /opt/app/config/config.yaml
          # 和Secret中定义的key一致，单文件挂载必须加subPath，否则会覆盖目录下原有文件
          subPath: config.yaml
          readOnly: true
      # 声明引用Secret的存储卷
      volumes:
      - name: app-config-vol
        secret:
          # 和之前创建的Secret名称保持一致
          secretName: app-config-secret

关键注意事项 #

• 如果需要一次性挂载多个凭证文件，可以在Secret的stringData下加多个键值对，挂载时去掉subPath配置，将mountPath设置为目标目录路径即可，每个key会在目录下生成对应名称的文件。
• 使用subPath挂载单文件时，Secret后续更新不会自动同步到容器内；如果需要自动热更新配置，请使用整目录挂载的方式。
• 所有类型的文件凭证（包括证书、私钥、kubeconfig、properties配置等）都可以用该方案处理，不需要修改Secret类型，默认Opaque类型即可满足需求。

内容的提问来源于stack exchange，提问作者Carabes