Kako ConfigMapovi i Secreti funkcioniraju za ubacivanje konfiguracije u workloadove?

Question

IT Interview Practice · Accepted Answer

**ConfigMapovi** i **Secreti** odvajaju konfiguraciju od kontejnerskih imagea, pa isti image radi u devu, stagingu i produkciji s različitim postavkama. ConfigMapovi drže **neosjetljivu** konfiguraciju; Secreti drže **osjetljive** podatke (lozinke, tokene, ključeve) i s njima se postupa pažljivije.

## Ideja: konfiguracija izvan imagea

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: neosjetljive postavke

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: osjetljive vrijednosti

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # ovdje plaintext; pohranjeno base64-kodirano u etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Obično se kreira imperativno kako se secreti ne bi commitali u git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Ubacivanje u Pod: kao env varijable ili kao datoteke

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # jedan ključ iz ConfigMapa
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # jedan ključ iz Secreta
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # uvezi SVE ključeve kao env varijable
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # montiraj konfiguraciju kao datoteke
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Važne napomene o Secretima

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## Zašto je to važno

Odvajanje konfiguracije od koda jezgrena je operativna praksa, a ConfigMapovi i Secreti su način na koji je Kubernetes implementira, pa je njihovo razumijevanje bitno znanje srednje razine. Ugrađivanje postavki specifičnih za okolinu u image je anti-pattern — prisiljava na ponovnu izgradnju po okolini i riskira curenje secreta — pa vam Kubernetes omogućuje da zadržite jedan nepromjenjiv image i ubacite konfiguraciju u vrijeme izvođenja: **ConfigMapovi** za neosjetljive vrijednosti (razine logiranja, feature flagovi, konfiguracijske datoteke) i **Secreti** za osjetljive podatke (lozinke, tokeni, ključevi). Poznavanje dvaju načina njihova korištenja — kao **varijable okoline** (pojedinačni ključevi preko `configMapKeyRef`/`secretKeyRef`, ili svi ključevi preko `envFrom`) i kao **montirane datoteke** (uz nijansu da se env varijable čitaju jednom pri pokretanju, dok se montirane datoteke mogu ažurirati uživo) — svakodnevno je praktično znanje za postavljanje stvarnih aplikacija. Jednako je važno razumjeti sigurnosne zamke koje spotiču mnoge inženjere: podaci u Secretu su zadano samo **base64-kodirani, a ne enkriptirani**, pa njihova stvarna zaštita zahtijeva omogućavanje **enkripcije u mirovanju (encryption at rest)** za etcd, ograničavanje pristupa kroz **RBAC**, izbjegavanje commitanja Secret manifesta u verzijski sustav i često integraciju vanjskog upravitelja secreta. Budući da gotovo svaki workload treba konfiguraciju i vjerodajnice po okolini, a nepravilno rukovanje Secretima čest je i ozbiljan sigurnosni propust, čvrsto razumijevanje ConfigMapova i Secreta temeljno je za sigurno i ispravno pokretanje aplikacija na Kubernetesu.

Ideja: konfiguracija izvan imagea

ConfigMap: neosjetljive postavke

Secret: osjetljive vrijednosti

Ubacivanje u Pod: kao env varijable ili kao datoteke

Važne napomene o Secretima

Zašto je to važno

Povezana pitanja