.NET Web API基于Docker和Kubernetes的秘密配置变量管理最佳方案

一、本地开发阶段：避免敏感信息提交仓库 #

• 放弃在appsettings.json里存RSA私钥，改用.NET 用户机密（User Secrets） 存储本地开发用的敏感配置：
  1. 初始化用户机密：dotnet user-secrets init
  2. 添加私钥到用户机密：dotnet user-secrets set "RsaPrivateKey" "你的RSA私钥内容"
  3. .NET应用会自动加载用户机密，优先级高于appsettings.json，本地开发时正常读取即可，用户机密文件仅存本地，不会被提交到Git仓库。

二、Docker镜像构建：绝对不打包敏感信息 #

• Dockerfile只复制代码、非敏感配置文件（比如appsettings.json仅保留非敏感项）和依赖，不要包含任何敏感内容。
• 生产环境的appsettings.production.json里只留占位符，比如"RsaPrivateKey": ""，敏感配置完全从外部注入。

三、Kubernetes部署：用Secrets管理敏感信息 #

这是生产环境的核心方案，所有敏感数据（RSA私钥、RabbitMQ连接信息等）都存在K8s Secrets中：

1. 创建K8s Secret #

• 方式一：命令行直接创建（推荐，避免明文YAML泄露）：

  # 从字面量创建RSA私钥Secret
  kubectl create secret generic api-rsa-secret --from-literal=rsa-private-key="你的私钥内容"
  
  # 从文件创建（适合长密钥）
  kubectl create secret generic api-rsa-secret --from-file=rsa-private-key=./local-private-key.pem
  

• 方式二：加密后提交YAML（适合需要版本控制Secret配置的场景）：
  使用Sealed Secrets工具，将明文Secret加密成SealedSecret YAML，提交到GitHub仓库，部署时K8s控制器自动解密为普通Secret，避免明文泄露。

2. 在Deployment中注入Secret #

有两种注入方式，按需选择：

• 环境变量注入（适合短内容）：

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: api-deployment
  spec:
    template:
      spec:
        containers:
        - name: api-container
          image: your-dockerhub-image:tag
          env:
          - name: RSA_PRIVATE_KEY
            valueFrom:
              secretKeyRef:
                name: api-rsa-secret
                key: rsa-private-key
          # 同理注入RabbitMQ的敏感配置
          - name: RABBITMQ_CONNECTION_STRING
            valueFrom:
              secretKeyRef:
                name: rabbitmq-secret
                key: connection-string
  

• 文件挂载注入（适合长密钥，比如RSA私钥）：

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: api-deployment
  spec:
    template:
      spec:
        volumes:
        - name: rsa-key-volume
          secret:
            secretName: api-rsa-secret
        containers:
        - name: api-container
          image: your-dockerhub-image:tag
          volumeMounts:
          - name: rsa-key-volume
            mountPath: /app/secrets
            readOnly: true
  

3. .NET应用读取Secret #

• 读取环境变量：直接用Environment.GetEnvironmentVariable("RSA_PRIVATE_KEY")
• 读取挂载的文件：通过File.ReadAllText("/app/secrets/rsa-private-key")读取密钥内容
• 也可以通过.NET配置系统绑定，比如在Program.cs中配置：

  builder.Configuration.AddEnvironmentVariables();
  var rsaKey = builder.Configuration["RSA_PRIVATE_KEY"];
  

四、CI/CD流程：安全传递敏感信息 #

以GitHub Actions为例：

1. 把RSA私钥、K8s配置等敏感信息存到GitHub仓库的Actions Secrets（仓库Settings -> Secrets and variables -> Actions）
2. 在Workflow中引用这些Secrets，动态创建K8s Secret或注入部署配置，绝对不要在日志或临时文件中输出敏感内容：

   jobs:
     deploy:
       runs-on: ubuntu-latest
       steps:
       - name: Set up Kubectl
         uses: azure/setup-kubectl@v3
       - name: Configure K8s context
         run: echo "${{ secrets.KUBECONFIG }}" > ~/.kube/config
       - name: Create RSA Secret
         run: kubectl create secret generic api-rsa-secret --from-literal=rsa-private-key=${{ secrets.RSA_PRIVATE_KEY }}
       - name: Deploy to K8s
         run: kubectl apply -f ./k8s/deployment.yaml
   

五、微服务与RabbitMQ的补充 #

• RabbitMQ的用户名、密码、连接字符串等敏感信息，同样用K8s Secrets存储，每个需要访问RabbitMQ的微服务都通过Secret注入对应的环境变量。
• 遵循最小权限原则：给每个微服务配置仅能读取自身所需Secret的K8s Role和RoleBinding，避免越权访问。

核心原则总结 #

• 敏感信息永远不提交到代码仓库，包括明文和未加密的配置文件。
• 敏感信息仅在需要的阶段注入：本地用用户机密，部署用K8s Secrets，CI/CD用平台密钥管理。
• 所有敏感数据都要限制访问权限，遵循最小权限原则。

内容的提问来源于stack exchange，提问作者Chelsea-Fox