Workload-এ configuration inject করতে ConfigMap ও Secret কীভাবে কাজ করে?

Question

IT Interview Practice · Accepted Answer

**ConfigMap** ও **Secret** container image থেকে configuration আলাদা করে, তাই একই image dev, staging, ও production-এ ভিন্ন সেটিং নিয়ে চলে। ConfigMap **সংবেদনশীল-নয়** এমন config ধরে রাখে; Secret **সংবেদনশীল** ডেটা ধরে রাখে (password, token, key) এবং আরও সাবধানে সামলানো হয়।

## ধারণা: image-এর বাইরে config

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: সংবেদনশীল-নয় এমন সেটিং

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: সংবেদনশীল মান

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # এখানে plaintext; etcd-তে base64-encoded হিসেবে সংরক্ষিত
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# সাধারণত imperatively তৈরি করা হয় যাতে secret git-এ commit না হয়:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## একটি Pod-এ inject করা: env var হিসেবে বা file হিসেবে

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # একটি ConfigMap থেকে একটি key
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # একটি Secret থেকে একটি key
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # সব key env var হিসেবে import করে
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # config ফাইল হিসেবে mount করুন
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Secret সম্পর্কে গুরুত্বপূর্ণ সতর্কতা

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## এটি কেন গুরুত্বপূর্ণ

configuration-কে code থেকে আলাদা করা একটি মূল পরিচালনাগত অনুশীলন, এবং ConfigMap ও Secret হলো যেভাবে Kubernetes এটি বাস্তবায়ন করে, তাই এগুলো বোঝা অপরিহার্য middle-স্তরের জ্ঞান। environment-নির্দিষ্ট সেটিং একটি image-এ bake করা একটি anti-pattern — এটি প্রতি environment-এ একটি rebuild বাধ্য করে এবং secret ফাঁসের ঝুঁকি রাখে — তাই Kubernetes আপনাকে একটি একক immutable image রাখতে এবং runtime-এ configuration inject করতে দেয়: সংবেদনশীল-নয় এমন মানের জন্য **ConfigMap** (log level, feature flag, config file) এবং সংবেদনশীল ডেটার জন্য **Secret** (password, token, key)। এদের গ্রহণের দুটি উপায় জানা — **environment variable** হিসেবে (`configMapKeyRef`/`secretKeyRef`-এর মাধ্যমে পৃথক key, বা `envFrom`-এর মাধ্যমে সব key) এবং **mounted file** হিসেবে (এই সূক্ষ্মতা সহ যে env var শুরুতে একবার পড়া হয় যখন mounted file লাইভ আপডেট হতে পারে) — বাস্তব অ্যাপ্লিকেশন deploy করার প্রতিদিনের ব্যবহারিক জ্ঞান। সমান গুরুত্বপূর্ণ হলো সেই নিরাপত্তা সতর্কতাগুলো বোঝা যা অনেক ইঞ্জিনিয়ারকে হোঁচট খাওয়ায়: Secret data ডিফল্টভাবে কেবল **base64-encoded, encrypted নয়**, তাই সত্যিকারভাবে এটি রক্ষা করতে হলে etcd-এর জন্য **encryption at rest** সক্ষম করা, **RBAC** দিয়ে access সীমিত করা, Secret manifest version control-এ commit না করা, এবং প্রায়ই একটি external secret manager সংহত করা প্রয়োজন। যেহেতু কার্যত প্রতিটি workload-এর per-environment configuration ও credential দরকার, এবং যেহেতু Secret ভুলভাবে সামলানো একটি সাধারণ ও গুরুতর নিরাপত্তা ফাঁক, ConfigMap ও Secret-এর একটি দৃঢ় ধারণা Kubernetes-এ নিরাপদে ও সঠিকভাবে অ্যাপ্লিকেশন চালানোর জন্য ভিত্তিমূলক।

ধারণা: image-এর বাইরে config

ConfigMap: সংবেদনশীল-নয় এমন সেটিং

Secret: সংবেদনশীল মান

একটি Pod-এ inject করা: env var হিসেবে বা file হিসেবে

Secret সম্পর্কে গুরুত্বপূর্ণ সতর্কতা

এটি কেন গুরুত্বপূর্ণ

সম্পর্কিত প্রশ্ন