K8s中能否在deployment.yaml内直接引用外部文件创建Secret/ConfigMap？

结论 #

原生Kubernetes YAML本身不支持直接引用本地外部文件，你可以通过以下两种方案实现单命令部署所有资源：

方案1：使用kubectl内置的Kustomize（推荐） #

Kustomize是kubectl 1.14及以上版本内置的工具，无需额外安装，支持直接读取本地文件生成Secret，不需要手动处理凭证转义、编码问题，也不会将凭证明文暴露在配置文件中。

操作步骤：

1. 在你的deployment.yaml和GCP凭证文件credentials.json所在目录下，新建kustomization.yaml，内容如下：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

# 生成Secret，自动读取本地凭证文件
secretGenerator:
- name: google-credentials
  files:
  - credentials.json=./credentials.json # 后面的路径替换为你本地凭证的实际相对路径

# 引入你的Deployment配置
resources:
- deployment.yaml

2. 执行以下命令即可一键完成Secret生成和Deployment部署：

kubectl apply -k .

挂载Secret到Pod示例：

在你的Deployment的Pod模板中添加如下配置，即可将凭证文件挂载到容器内指定路径：

spec:
  containers:
  - name: 你的容器名
    image: 你的镜像名
    volumeMounts:
    - name: google-credential-volume
      mountPath: /var/secrets/google # 容器内的挂载路径，可自行修改
      readOnly: true
  volumes:
  - name: google-credential-volume
    secret:
      secretName: google-credentials # 和Kustomize生成的Secret名称一致

方案2：单YAML文件直接嵌入base64编码的凭证 #

如果你不想引入Kustomize，也可以将凭证编码后直接写入YAML，将Secret和Deployment配置放在同一个文件中，直接apply即可。

1. 先将本地凭证文件转为base64编码：

# Linux/macOS 执行
cat credentials.json | base64 -w 0

2. 将输出的编码字符串填入Secret配置的data字段，和你的Deployment配置用---分隔写在同一个deployment.yaml中：

apiVersion: v1
kind: Secret
metadata:
  name: google-credentials
type: Opaque
data:
  credentials.json: 你上一步生成的base64编码字符串
---
# 这里放你原本的Deployment配置内容
apiVersion: apps/v1
kind: Deployment
metadata:
  name: 你的部署名
# ... 其余配置省略，挂载方式和方案1一致

3. 直接执行你需要的命令即可完成部署：

kubectl apply -f deployment.yaml

注意：该方案的YAML文件中会包含可直接解码的凭证内容，请勿将该文件提交到代码仓库等公开位置。

内容的提问来源于stack exchange，提问作者munHunger