Πώς λειτουργούν τα ConfigMaps και τα Secrets για την εισαγωγή configuration σε workloads;

Question

IT Interview Practice · Accepted Answer

Τα **ConfigMaps** και τα **Secrets** αποσυνδέουν το configuration από τα container images, ώστε το ίδιο image να τρέχει σε dev, staging και production με διαφορετικές ρυθμίσεις. Τα ConfigMaps κρατούν **μη ευαίσθητο** config· τα Secrets κρατούν **ευαίσθητα** δεδομένα (passwords, tokens, keys) και αντιμετωπίζονται πιο προσεκτικά.

## Η ιδέα: config εκτός του image

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: μη ευαίσθητες ρυθμίσεις

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: ευαίσθητες τιμές

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # plaintext εδώ· αποθηκεύεται base64-encoded στο etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Συνήθως δημιουργείται imperatively για να μη γίνει commit secrets στο git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Εισαγωγή σε ένα Pod: ως env vars ή ως αρχεία

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # ένα κλειδί από ένα ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # ένα κλειδί από ένα Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # εισαγωγή ΟΛΩΝ των κλειδιών ως env vars
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # mount του config ως αρχεία
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Σημαντικές επιφυλάξεις για τα Secrets

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## Γιατί έχει σημασία

Ο διαχωρισμός του configuration από τον κώδικα είναι μια βασική λειτουργική πρακτική, και τα ConfigMaps και τα Secrets είναι ο τρόπος που το Kubernetes την υλοποιεί, οπότε η κατανόησή τους είναι απαραίτητη γνώση επιπέδου middle. Το να ενσωματώνεις ρυθμίσεις συγκεκριμένες ανά περιβάλλον μέσα σε ένα image είναι anti-pattern — αναγκάζει σε rebuild ανά περιβάλλον και κινδυνεύει να διαρρεύσει secrets — οπότε το Kubernetes σού επιτρέπει να κρατάς ένα μοναδικό αμετάβλητο image και να εισάγεις configuration στο runtime: **ConfigMaps** για μη ευαίσθητες τιμές (log levels, feature flags, αρχεία config) και **Secrets** για ευαίσθητα δεδομένα (passwords, tokens, keys). Το να ξέρεις τους δύο τρόπους κατανάλωσής τους — ως **environment variables** (μεμονωμένα κλειδιά μέσω `configMapKeyRef`/`secretKeyRef`, ή όλα τα κλειδιά μέσω `envFrom`) και ως **προσαρτημένα αρχεία** (με τη λεπτομέρεια ότι τα env vars διαβάζονται μία φορά στην εκκίνηση ενώ τα προσαρτημένα αρχεία μπορούν να ενημερώνονται ζωντανά) — είναι καθημερινή πρακτική γνώση για το deployment πραγματικών εφαρμογών. Εξίσου σημαντικό είναι να κατανοείς τις επιφυλάξεις ασφαλείας που μπερδεύουν πολλούς μηχανικούς: τα δεδομένα ενός Secret είναι εξ ορισμού μόνο **base64-encoded, όχι κρυπτογραφημένα**, οπότε η πραγματική προστασία τους απαιτεί ενεργοποίηση **encryption at rest** για το etcd, περιορισμό της πρόσβασης με **RBAC**, αποφυγή του commit των Secret manifests σε version control, και συχνά ενσωμάτωση ενός εξωτερικού secret manager. Επειδή ουσιαστικά κάθε workload χρειάζεται configuration και credentials ανά περιβάλλον, και επειδή ο κακός χειρισμός των Secrets είναι ένα συχνό και σοβαρό κενό ασφαλείας, μια στέρεη κατανόηση των ConfigMaps και των Secrets είναι θεμελιώδης για να τρέχεις εφαρμογές με ασφάλεια και ορθότητα στο Kubernetes.

Η ιδέα: config εκτός του image

ConfigMap: μη ευαίσθητες ρυθμίσεις

Secret: ευαίσθητες τιμές

Εισαγωγή σε ένα Pod: ως env vars ή ως αρχεία

Σημαντικές επιφυλάξεις για τα Secrets

Γιατί έχει σημασία

Σχετικές ερωτήσεις