Kubernetes中如何通过Secret配置SQL数据库连接串并使用服务主机名

问题1：该方案是否为正确实践？ #

将包含敏感信息的完整数据库连接串存入Kubernetes Secret，再以环境变量形式注入Deployment是符合安全规范的实践。Secret默认以Base64编码存储，不会在配置文件中明文泄露敏感信息，你也可以开启etcd加密进一步提升存储安全性。
如果想要更高的灵活性，更推荐的实践是拆分配置：非敏感信息（数据库服务名、库名、用户名）存入ConfigMap，仅敏感的密码存入Secret，后续修改非敏感配置时无需操作Secret，权限隔离更清晰。

问题2：Kubernetes Secret的连接串中应该填写什么服务名作为数据库Server地址？ #

和docker-compose中用服务名互相访问的逻辑一致，Kubernetes依赖CoreDNS做服务发现，地址规则如下：

• 如果Catalog DB的Service和Catalog API部署在同一个命名空间，直接填写Catalog DB对应的ClusterIP Service的名称即可，比如你给DB创建的Service名为catalog-db，连接串的Server段写Server=catalog-db,1433即可。
• 如果跨命名空间部署，需要填写完整的服务域名：<DB服务名>.<DB所在命名空间>.svc.cluster.local，比如DB在infra命名空间，服务名为catalog-db，就写Server=catalog-db.infra.svc.cluster.local,1433。

问题3：Secret文件中是否支持字符串插值或拼接？ #

Secret本身是纯键值存储，不支持插值、拼接等模板能力，但你可以在Deployment层面完成变量拼接，无需把完整连接串存在Secret，也无需重复填写密码，参考配置如下：

env:
  # 从ConfigMap读取非敏感配置
  - name: DB_HOST
    valueFrom:
      configMapKeyRef:
        name: catalog-config
        key: db_host
  - name: DB_NAME
    valueFrom:
      configMapKeyRef:
        name: catalog-config
        key: db_name
  - name: DB_USER
    valueFrom:
      configMapKeyRef:
        name: catalog-config
        key: db_user
  # 从Secret读取密码
  - name: DB_PASSWORD
    valueFrom:
      secretKeyRef:
        name: sql-secret
        key: sa_password
  # K8s会在容器启动前自动解析同env列表内的$()变量，拼接为完整连接串
  - name: DatabaseSettings__ConnectionString
    value: "Server=$(DB_HOST),1433;Database=$(DB_NAME);User Id=$(DB_USER);Password=$(DB_PASSWORD);"

这种方式可以直接复用你单独给SQL容器设置的密码Secret，不用重复维护密码值。

内容的提问来源于stack exchange，提问作者Brijesh Shah