如何通过Helm Chart拉取本地环境变量以隐藏部署密钥？

嘿，我刚好处理过类似的需求，下面几种方法都能帮你实现从本地机器拉取环境变量到Helm部署的容器中，完美隐藏敏感密钥：

这是最直观的方式，直接在helm install/helm upgrade命令里把本地环境变量传给Helm的Values：

首先，修改你的deployment.yaml模板，引用Values里的变量：

spec:
  restartPolicy: Always
  containers:
    - name: your-app-container
      env:
        # 这里引用Values中的变量
        - name: DB_PASSWORD
          value: {{ .Values.env.dbPassword }}
        - name: API_KEY
          value: {{ .Values.env.apiKey }}

然后部署时，用$引用本地环境变量，通过--set传递：

# 假设本地已经设置了DB_PASSWORD和API_KEY环境变量
helm install your-release ./your-chart \
  --set env.dbPassword=$DB_PASSWORD \
  --set env.apiKey=$API_KEY

如果有很多环境变量，用--set会很繁琐，你可以先生成一个临时的Values文件，用本地环境变量填充，再让Helm加载它：

1. 创建临时Values文件（用envsubst自动替换变量）：

cat > temp-values.yaml << EOF
env:
  dbPassword: $DB_PASSWORD
  apiKey: $API_KEY
  redisHost: $REDIS_HOST
EOF

2. 用这个临时文件部署：

helm install your-release ./your-chart -f temp-values.yaml

3. 部署完成后删除临时文件（避免敏感信息残留）：

rm temp-values.yaml

同样，deployment.yaml里的写法和方法1一致，引用{{ .Values.env.* }}即可。

Helm提供了getEnv模板函数，可以直接在deployment.yaml中读取部署机器的本地环境变量，不需要额外传递参数：

修改deployment.yaml如下：

spec:
  restartPolicy: Always
  containers:
    - name: your-app-container
      env:
        - name: DB_PASSWORD
          # 直接读取本地的DB_PASSWORD环境变量，用quote确保是字符串格式
          value: {{ getEnv "DB_PASSWORD" | quote }}
        - name: API_KEY
          value: {{ getEnv "API_KEY" | quote }}

然后直接运行部署命令即可，Helm会自动从本地环境中拉取对应变量：

helm install your-release ./your-chart

注意事项 #

• 敏感变量绝对不要硬编码在Chart的values.yaml或模板文件里，以上方法都不会把密钥存入代码仓库，安全性更高。
• 如果在CI/CD环境中使用，只需要把敏感变量存在CI的秘密管理（比如GitHub Secrets、GitLab CI/CD Variables）中，部署时同样用上述方法传递即可，原理完全一致。
• 用getEnv时，如果本地环境中没有对应的变量，Helm会返回空字符串。你可以加个默认值兜底（但敏感变量不建议设默认）：

  value: {{ getEnv "DB_PASSWORD" | default "local-dev-pass" | quote }}
  

内容的提问来源于stack exchange，提问作者uberrebu