如何通过声明式流水线将K8S Secret键值传入Jenkins

前置操作：创建K8s Secret #

首先需要在Jenkins Agent运行的K8s命名空间下提前创建Secret资源，示例yaml如下：

apiVersion: v1
kind: Secret
metadata:
  name: my-app-secret # 自定义Secret资源名称
type: Opaque
data:
  USERNAME: YWRtaW4= # base64编码后的用户名（示例值为admin）
  PASSWORD: MWYyZDFlMmU2N2Rm # base64编码后的密码（示例值为1f2d1e2e67df）

创建命令：kubectl apply -f <secret-yaml文件名> -n <Jenkins Agent所在命名空间> #

纠正原有K8s Pod引用Secret的配置错误 #

你贴的示例中secretKeyRef字段写反，name对应Secret资源名称，key对应Secret内存储的键名，正确配置如下：

spec:
 containers:
   - name: 你的容器名称
     env:
      - name: K8S_SECRET_USERNAME # 注入到容器的环境变量名，和镜像预置变量名一致即可覆盖
        valueFrom:
          secretKeyRef:
            name: my-app-secret # 对应上面创建的Secret资源名
            key: USERNAME # 对应Secret内的键名
      - name: K8S_SECRET_PASSWORD
        valueFrom:
          secretKeyRef:
            name: my-app-secret
            key: PASSWORD

正确的Jenkins声明式流水线配置 #

Jenkins Kubernetes插件注入Secret环境变量使用secretEnvVar方法，无需手动写Pod yaml，直接在agent块配置即可自动覆盖镜像预置的同名环境变量，示例如下：

pipeline {
    agent {
        kubernetes {
            label 'docker'
            envVars: [
                // 注入用户名环境变量，和镜像预置变量名一致即可覆盖
                secretEnvVar(
                    key: 'K8S_SECRET_USERNAME', 
                    secretName: 'my-app-secret', // K8s Secret资源名
                    secretKey: 'USERNAME' // Secret内的键名
                ),
                // 注入密码环境变量
                secretEnvVar(
                    key: 'K8S_SECRET_PASSWORD',
                    secretName: 'my-app-secret',
                    secretKey: 'PASSWORD'
                )
            ]
        }
    }
    environment {
      BRANCH = 'origin/master'
      PROJECT_NAME = 'k8s'
    }
   stages{
      stage('print k8s secret'){
           steps {
               // 变量名和secretEnvVar的key保持完全一致，区分大小写
               echo "k8s_secret_username: ${env.K8S_SECRET_USERNAME}"
               echo "k8s_secret_password: ${env.K8S_SECRET_PASSWORD}"
           }
      }
    }
}

注意事项 #

• 确保Jenkins运行Agent使用的ServiceAccount有对应命名空间下Secret的get权限，否则会导致Pod拉取Secret失败无法启动
• secretEnvVar的key字段要和镜像中需要覆盖的预置环境变量名完全一致，区分大小写才能生效
• Secret必须和Jenkins Agent运行在同一个K8s命名空间，跨命名空间拉取需要额外配置RBAC权限
• Jenkins默认会屏蔽敏感凭证的控制台输出，若echo输出为****属于正常防护行为，不影响环境变量实际使用

内容的提问来源于stack exchange，提问作者Jwary