Miten ConfigMapit ja Secretit toimivat konfiguraation injektoinnissa työkuormiin?

Question

IT Interview Practice · Accepted Answer

**ConfigMapit** ja **Secretit** irrottavat konfiguraation konttikuvista, joten sama kuva ajetaan devissä, stagingissa ja tuotannossa eri asetuksilla. ConfigMapit sisältävät **ei-arkaluontoista** konfiguraatiota; Secretit sisältävät **arkaluontoista** dataa (salasanat, tokenit, avaimet) ja niitä käsitellään huolellisemmin.

## Idea: konfiguraatio ulos kuvasta

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: ei-arkaluontoiset asetukset

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: arkaluontoiset arvot

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # selkotekstinä tässä; tallennetaan base64-koodattuna etcd:hen
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Yleensä luodaan imperatiivisesti, jotta secretejä ei committoida gittiin:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Injektointi Podiin: ympäristömuuttujina tai tiedostoina

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # yksi avain ConfigMapista
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # yksi avain Secretistä
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # tuo KAIKKI avaimet ympäristömuuttujiksi
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # liitä konfiguraatio tiedostoina
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Tärkeitä varoituksia Secreteistä

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## Miksi se on tärkeää

Konfiguraation erottaminen koodista on operatiivinen ydinkäytäntö, ja ConfigMapit ja Secretit ovat se tapa jolla Kubernetes toteuttaa sen, joten niiden ymmärtäminen on olennaista keskitason tietoa. Ympäristökohtaisten asetusten leipominen kuvaan on anti-pattern — se pakottaa uudelleenkäännöksen ympäristöä kohti ja riskeeraa secretien vuotamisen — joten Kubernetes antaa sinun pitää yhden muuttumattoman kuvan ja injektoida konfiguraation ajonaikana: **ConfigMapit** ei-arkaluontoisille arvoille (lokitasot, feature flagit, konfiguraatiotiedostot) ja **Secretit** arkaluontoiselle datalle (salasanat, tokenit, avaimet). Niiden kahden käyttötavan tunteminen — **ympäristömuuttujina** (yksittäiset avaimet `configMapKeyRef`/`secretKeyRef` kautta, tai kaikki avaimet `envFrom` kautta) ja **liitettyinä tiedostoina** (sillä vivahteella, että ympäristömuuttujat luetaan kerran käynnistyksessä kun taas liitetyt tiedostot voivat päivittyä live) — on arkista käytännön tietoa todellisten sovellusten käyttöönotossa. Yhtä tärkeää on ymmärtää turvallisuusvaroitukset, jotka kompastuttavat monia insinöörejä: Secret-data on oletuksena vain **base64-koodattua, ei salattua**, joten sen aito suojaaminen vaatii **encryption at rest** -salauksen käyttöönoton etcd:lle, pääsyn rajoittamisen **RBAC:lla**, Secret-manifestien committoinnin välttämisen versionhallintaan, ja usein ulkoisen secret-managerin integroinnin. Koska käytännössä jokainen työkuorma tarvitsee ympäristökohtaista konfiguraatiota ja tunnuksia, ja koska Secretien väärin käsittely on yleinen ja vakava tietoturva-aukko, vankka ConfigMapien ja Secretien hallinta on perustavaa sovellusten turvalliselle ja oikealle ajamiselle Kubernetesissa.

Idea: konfiguraatio ulos kuvasta

ConfigMap: ei-arkaluontoiset asetukset

Secret: arkaluontoiset arvot

Injektointi Podiin: ympäristömuuttujina tai tiedostoina

Tärkeitä varoituksia Secreteistä

Miksi se on tärkeää

Aiheeseen liittyvät kysymykset