如何在OpenTelemetry Collector中使用OTEL_EXPORTER_OTLP_HEADERS避免ConfigMap泄露密钥

方案1：使用OTel Collector内置的环境变量替换功能（最常用） #

OTel Collector本身支持在配置文件中使用${环境变量名}的语法引用环境变量，启动时会自动替换为对应变量值，配合Kubernetes Secret就能完全避免密钥明文出现在ConfigMap中，具体操作如下：

1. 修改ConfigMap中存储的Collector配置，将密钥部分替换为环境变量引用：

exporters:
  otlp/elastic:
      endpoint: "xxx.elastic-cloud.com:443"
      headers:
          Authorization: "Bearer ${ELASTIC_APM_TOKEN}"

2. 在Kubernetes中创建Secret存储你的APM密钥：

kubectl create secret generic elastic-apm-secret --from-literal=token=你的实际APM Secret Token

3. 修改Collector的Deployment/DaemonSet配置，将Secret中的密钥注入为容器环境变量：

containers:
- name: opentelemetry-collector
  # 保持你原来的Collector镜像配置不变
  env:
  - name: ELASTIC_APM_TOKEN
    valueFrom:
      secretKeyRef:
        name: elastic-apm-secret
        key: token
  # 保持你原来的volumeMount、启动参数等配置不变

提示：如果使用v0.35.0以下版本的OTel Collector，需要在容器启动命令中添加--config-expand-env参数开启环境变量替换功能，新版本默认开启无需额外配置。

为什么之前的OTEL_EXPORTER_OTLP_HEADERS不生效？ #

OTEL_EXPORTER_OTLP_HEADERS是OpenTelemetry各语言SDK专用的标准环境变量，OTel Collector的导出器组件不会默认读取该SDK专属变量，需要用上面提到的Collector自身的环境变量替换规则配置。

其他可选方案 #

如果需要更灵活的配置管理，也可以使用OTel Collector的配置提供者扩展，直接从Kubernetes Secret中加载完整的导出器配置片段，不需要在ConfigMap中写任何和密钥相关的配置，但该方案需要额外开启Collector的相关特性，复杂度高于第一种方案，普通场景不需要使用。

内容的提问来源于stack exchange，提问作者Absolom