Conas a oibríonn ConfigMaps agus Secrets chun cumraíocht a instealladh isteach i workloads?

Question

IT Interview Practice · Accepted Answer

Díchúplálann **ConfigMaps** agus **Secrets** cumraíocht ó images container, ionas go ritheann an t-image céanna i dev, staging, agus production le socruithe éagsúla. Coinníonn ConfigMaps cumraíocht **neamh-íogair**; coinníonn Secrets sonraí **íogaire** (pasfhocail, tokens, keys) agus láimhseáiltear iad níos cúramaí.

## An smaoineamh: cumraíocht amach as an image

```text
Image = code (do-athraithe, tógtha uair amháin).  Config = luachanna in aghaidh gach timpeallachta.
Is anti-pattern é config a bhácáil isteach san image (atóg in aghaidh gach timpeallachta, sceitheann secrets).
→ Stóráil config i ConfigMaps/Secrets, insteall ag runtime mar env vars nó comhaid.
```

## ConfigMap: socruithe neamh-íogaire

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: luachanna íogaire

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # gnáth-théacs anseo; stóráilte base64-ionchódaithe in etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Cruthaítear go hordaitheach de ghnáth chun secrets a sheachaint á gcur isteach in git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Á instealladh isteach i bPod: mar env vars nó mar chomhaid

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # eochair amháin ó ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # eochair amháin ó Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # iompórtáil GACH eochair mar env vars
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # feistigh config mar chomhaid
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Rabhaidh thábhachtacha faoi Secrets

```text
⚠ Tá sonraí Secret base64-IONCHÓDAITHE, ní criptithe, de réir default.
  → Cumasaigh CRIPTIÚ AG FUARÚ (encryption at rest) do etcd (EncryptionConfiguration).
  → Srianaigh rochtain le RBAC (cé a fhéadann 'get secrets').
  → Roghnaigh bainisteoirí seachtracha (Vault, cloud Secrets Manager) nó sealed secrets.
  → Ná cuir manifests Secret fíor isteach in git riamh.
Léitear config env-var UAIR AMHÁIN ag tosú an container; is féidir le comhaid fheistithe nuashonrú beo.
```

## Cén fáth a bhfuil sé tábhachtach

Is croíchleachtas oibríochta é cumraíocht a scaradh ón gcód, agus is iad ConfigMaps agus Secrets an chaoi a gcuireann Kubernetes i bhfeidhm é, mar sin is eolas riachtanach meánleibhéil iad a thuiscint. Is anti-pattern é socruithe timpeallacht-shonracha a bhácáil isteach in image — cuireann sé iallach ort atógáil in aghaidh gach timpeallachta agus tá baol ann secrets a sceitheadh — mar sin ligeann Kubernetes duit image do-athraithe amháin a choinneáil agus cumraíocht a instealladh ag runtime: **ConfigMaps** do luachanna neamh-íogaire (log levels, feature flags, comhaid config) agus **Secrets** do shonraí íogaire (pasfhocail, tokens, keys). Is eolas praiticiúil laethúil iad an dá bhealach chun iad a ithe a bheith ar eolas agat — mar **athróga timpeallachta** (eochracha aonair trí `configMapKeyRef`/`secretKeyRef`, nó gach eochair trí `envFrom`) agus mar **chomhaid fheistithe** (leis an mblas go léitear env vars uair amháin ag tosú agus gur féidir le comhaid fheistithe nuashonrú beo) chun feidhmchláir fhíora a imscaradh. Chomh tábhachtach céanna is ea na rabhaidh slándála a thuiscint a chuireann bac ar go leor innealtóirí: níl sonraí Secret ach **base64-ionchódaithe, ní criptithe**, de réir default, mar sin le hiad a chosaint i ndáiríre teastaíonn **criptiú ag fuarú** a chumasú do etcd, rochtain a shrianadh le **RBAC**, manifests Secret a sheachaint á gcur isteach i rialú leaganacha, agus go minic bainisteoir secret seachtrach a chomhtháthú. Toisc go dteastaíonn cumraíocht in aghaidh gach timpeallachta agus dintiúir ó bheagnach gach workload, agus toisc gur bearna slándála coitianta agus tromchúiseach é mí-láimhseáil Secrets, tá greim daingean ar ConfigMaps agus Secrets bunúsach chun feidhmchláir a rith go sábháilte agus go ceart ar Kubernetes.

An smaoineamh: cumraíocht amach as an image

ConfigMap: socruithe neamh-íogaire

Secret: luachanna íogaire

Á instealladh isteach i bPod: mar env vars nó mar chomhaid

Rabhaidh thábhachtacha faoi Secrets

Cén fáth a bhfuil sé tábhachtach

Ceisteanna gaolmhara