使用 Docker 管理 .NET Web API 中的秘密配置变量的最佳方案是什么？

阿华AIGC实验室

2026-3-23

由于你是密钥管理的新手，且场景涉及 .NET Web API + Docker + Kubernetes + CI/CD，核心原则是绝对不要将敏感信息（如RSA私钥）硬编码到代码库、Docker镜像或公开的K8s YAML文件中。以下是针对你场景的分层最佳实践：

一、核心方案：使用 Kubernetes Secrets 管理敏感配置

Kubernetes 原生提供了 Secret 资源来安全存储和传递敏感数据，这是你当前K8s环境下的首选方案：

1. 创建 Kubernetes Secret

你可以通过多种安全方式创建Secret，避免明文暴露敏感内容：

从本地文件创建（适合RSA私钥这类多行格式的内容）：

# 假设你的RSA私钥文件为 private.key
kubectl create secret generic api-rsa-secret --from-file=rsa-private-key=./private.key

从环境变量创建（适合单行敏感值）：

kubectl create secret generic api-rsa-secret --from-literal=rsa-private-key="your-rsa-private-key-content"

注意：Kubernetes Secret 默认仅使用Base64编码（并非加密），请确保你的K8s集群已启用 etcd静态加密，防止etcd存储中的秘密被泄露。

2. 在Pod中注入Secret到.NET应用

有两种主流方式让.NET应用安全读取Secret：

方式1：将Secret挂载为容器内的文件

修改你的Kubernetes Deployment YAML，将Secret挂载为容器内的文件：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: webapi-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: webapi
  template:
    metadata:
      labels:
        app: webapi
    spec:
      containers:
      - name: webapi-container
        image: your-dockerhub-username/webapi-image:latest
        volumeMounts:
        - name: secret-volume
          mountPath: /app/secrets  # 挂载到容器内的安全路径
          readOnly: true
      volumes:
      - name: secret-volume
        secret:
          secretName: api-rsa-secret  # 关联已创建的Secret

然后在.NET应用的Program.cs中读取挂载的文件：

var builder = WebApplication.CreateBuilder(args);
// 从挂载的文件读取RSA私钥
var privateKeyPath = Path.Combine(Directory.GetCurrentDirectory(), "secrets", "rsa-private-key");
var privateKey = File.ReadAllText(privateKeyPath);
// 将私钥注入到服务中使用
builder.Services.AddSingleton<RsaSecurityKey>(new RsaSecurityKey(RSA.CreateFromPem(privateKey)));

方式2：将Secret作为环境变量注入

修改Deployment YAML，将Secret值注入为容器环境变量：

containers:
- name: webapi-container
  image: your-dockerhub-username/webapi-image:latest
  env:
  - name: RSA_PRIVATE_KEY
    valueFrom:
      secretKeyRef:
        name: api-rsa-secret
        key: rsa-private-key

然后在.NET中通过配置系统读取环境变量：

var builder = WebApplication.CreateBuilder(args);
var privateKey = builder.Configuration["RSA_PRIVATE_KEY"];
// 后续将私钥用于业务逻辑

二、CI/CD 流程中的安全规范

由于你要通过CI/CD自动发布到Docker Hub并部署到K8s，需确保流程全程不泄露敏感信息：

1. Docker镜像构建的安全实践

使用多阶段构建，避免在最终运行时镜像中包含任何敏感文件或构建时依赖：

# 构建阶段（仅用于编译代码，不包含在最终镜像）
FROM mcr.microsoft.com/dotnet/sdk:6.0 AS build
WORKDIR /src
COPY ["WebApi.csproj", "."]
RUN dotnet restore "./WebApi.csproj"
COPY . .
RUN dotnet build "WebApi.csproj" -c Release -o /app/build

# 发布阶段（生成可执行的发布包）
FROM build AS publish
RUN dotnet publish "WebApi.csproj" -c Release -o /app/publish /p:UseAppHost=false

# 最终运行时镜像（仅包含.NET运行时和发布包）
FROM mcr.microsoft.com/dotnet/aspnet:6.0 AS final
WORKDIR /app
COPY --from=publish /app/publish .
ENTRYPOINT ["dotnet", "WebApi.dll"]

绝对不要在Dockerfile中添加COPY private.key .这类命令，也不要用ENV指令设置敏感环境变量。

2. GitHub Actions 中的秘密传递

不要将K8s Secret内容硬编码到工作流文件中，而是使用GitHub的内置秘密存储（GitHub Secrets）传递敏感值：
示例GitHub Actions工作流片段（用于部署K8s Secret）：

- name: Set K8s Context
  uses: azure/k8s-set-context@v3
  with:
    kubeconfig: ${{ secrets.KUBECONFIG }}  # 从GitHub Secrets获取集群配置

- name: Create K8s Secret (如果不存在)
  run: |
    if ! kubectl get secret api-rsa-secret 2>/dev/null; then
      kubectl create secret generic api-rsa-secret --from-literal=rsa-private-key="${{ secrets.RSA_PRIVATE_KEY }}"
    fi

其中KUBECONFIG和RSA_PRIVATE_KEY均存储在GitHub Secrets中，不会暴露在公开的代码库中。

三、进阶方案：外部秘密管理系统

如果你的团队需要更严格的密钥生命周期管理（如自动轮换、权限审计、跨环境同步），可以结合专业的外部秘密存储服务：

HashiCorp Vault：配合Kubernetes Vault CSI Driver将Vault中的秘密直接挂载到Pod中
云厂商密钥服务：比如Azure Key Vault（配合Azure Key Vault CSI Provider）、AWS Secrets Manager（配合AWS Secrets and Configuration Provider）
这类方案适合多环境（开发/测试/生产）的密钥统一管理，彻底规避K8s Secrets的Base64编码风险。

四、安全存储K8s配置文件的技巧

由于你计划将K8s YAML文件存储在GitHub，需避免敏感配置泄露：

使用Bitnami Sealed Secrets：将普通K8s Secret加密为SealedSecret资源，只有你的目标K8s集群能解密，可安全提交到代码库。
示例加密命令：
```
kubeseal --format=yaml < secret.yaml > sealed-secret.yaml
```
提交sealed-secret.yaml到GitHub后，集群中的Sealed Secrets控制器会自动将其解密为可用的普通Secret。