Kubernetes部署MySQL时如何在ConfigMap中调用Secrets初始化创建非root用户

ConfigMap本身没有直接读取Kubernetes Secret内容的能力，它的data字段是静态存储的明文配置，不存在可以在ConfigMap定义阶段直接引用Secret值的语法。要实现“不把敏感凭据写在ConfigMap、依托Secret存储初始化MySQL用户”的目标，完全可以利用MySQL官方镜像的entrypoint原生能力实现，不需要自定义镜像或者额外写Sidecar渲染脚本。

1. 新建存储MySQL业务用户凭据的Secret
   把需要创建的MySQL用户名、密码以base64编码的形式存在Secret里，不要写入任何ConfigMap配置：

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysql-biz-credential
   type: Opaque
   data:
     mysql-user: <base64编码的业务用户名>
     mysql-password: <base64编码的业务用户密码>
   

2. 修改原ConfigMap的初始化脚本
   把原本硬写占位符的SQL改成引用容器环境变量的格式，脚本里不出现任何真实用户名、密码值：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: mysql-config
     labels:
       app: mysql-image-db
   data:
     initdb.sql: |-
       -- 创建业务用户
       CREATE USER '${MYSQL_BIZ_USER}'@'%' IDENTIFIED BY '${MYSQL_BIZ_PASSWORD}';
       -- 按需配置授权规则
       GRANT ALL PRIVILEGES ON *.* TO '${MYSQL_BIZ_USER}'@'%';
       FLUSH PRIVILEGES;
   

3. 在MySQL工作负载中完成配置挂载与环境注入
   在部署MySQL的Deployment/StatefulSet配置中，做两个关联配置：

   • 把刚才的ConfigMap挂载到容器的/docker-entrypoint-initdb.d/目录，和原有方案的挂载逻辑完全一致
   • 把Secret里的用户名、密码值映射为容器的环境变量，供初始化脚本读取：

   containers:
   - name: mysql
     image: mysql:8.0
     # 注入Secret对应的环境变量
     env:
     - name: MYSQL_BIZ_USER
       valueFrom:
         secretKeyRef:
           name: mysql-biz-credential
           key: mysql-user
     - name: MYSQL_BIZ_PASSWORD
       valueFrom:
         secretKeyRef:
           name: mysql-biz-credential
           key: mysql-password
     # 挂载初始化脚本目录
     volumeMounts:
     - name: init-script
       mountPath: /docker-entrypoint-initdb.d/
   volumes:
   - name: init-script
     configMap:
       name: mysql-config
   

• 这个方案完全依托MySQL官方镜像的原生能力：容器启动执行初始化逻辑时，entrypoint会自动遍历docker-entrypoint-initdb.d下的所有SQL文件，将文件里${变量名}格式的占位符替换为当前容器环境内的实际变量值，不需要额外做模板渲染
• 安全属性：所有敏感的用户名、密码实际值全程只存储在Secret中，ConfigMap里仅存储通用的初始化SQL逻辑，不会出现明文凭据泄露的问题
• 注意事项：初始化脚本仅在MySQL实例首次启动、数据目录完全为空时执行一次，后续重启或配置修改不会重复触发脚本逻辑；SQL语句里的用户名、密码占位符必须加单引号，避免特殊字符引发SQL语法错误

内容的提问来源于stack exchange，提问作者Marcel Gohsen