Hogyan működnek a ConfigMapok és a Secretek a konfiguráció workloadokba való injektálásához?

Question

IT Interview Practice · Accepted Answer

A **ConfigMapok** és a **Secretek** szétválasztják a konfigurációt a konténer-image-ektől, így ugyanaz az image fut dev, staging és production környezetben más-más beállításokkal. A ConfigMapok **nem érzékeny** konfigurációt tárolnak; a Secretek **érzékeny** adatokat (jelszavak, tokenek, kulcsok), és óvatosabban kezeljük őket.

## Az ötlet: a konfiguráció ki az image-ből

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: nem érzékeny beállítások

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: érzékeny értékek

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # itt sima szöveg; az etcd-ben base64-kódolva tárolva
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Általában imperatívan hozzuk létre, hogy ne kerüljön secret a gitbe:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Injektálás egy Podba: env változóként vagy fájlként

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # egyetlen kulcs egy ConfigMapból
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # egyetlen kulcs egy Secretből
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # az ÖSSZES kulcs importálása env változóként
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # a konfiguráció mountolása fájlként
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Fontos figyelmeztetések a Secretekről

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## Miért fontos

A konfiguráció szétválasztása a kódtól alapvető üzemeltetési gyakorlat, és a ConfigMapok meg a Secretek azok, amivel a Kubernetes ezt megvalósítja, ezért megértésük elengedhetetlen middle szintű tudás. A környezetfüggő beállítások image-be sütése anti-pattern — környezetenkénti újraépítést kényszerít ki, és a secretek kiszivárgásának kockázatával jár —, ezért a Kubernetes lehetővé teszi, hogy egyetlen immutable image-et tarts, és a konfigurációt futásidőben injektáld: **ConfigMapokat** a nem érzékeny értékekhez (log szintek, feature flag-ek, konfigurációs fájlok) és **Secreteket** az érzékeny adatokhoz (jelszavak, tokenek, kulcsok). A két felhasználási mód ismerete — **környezeti változóként** (egyes kulcsok `configMapKeyRef`/`secretKeyRef` révén, vagy az összes kulcs `envFrom`-mal) és **mountolt fájlként** (azzal az árnyalattal, hogy az env változók egyszer, induláskor olvasódnak be, míg a mountolt fájlok élőben frissülhetnek) — mindennapi gyakorlati tudás valódi alkalmazások telepítéséhez. Ugyanilyen fontos megérteni azokat a biztonsági figyelmeztetéseket, amelyeken sok mérnök elbukik: a Secret adat alapból csak **base64-kódolt, nem titkosított**, így a valódi védelméhez engedélyezni kell az **encryption at rest**-et az etcd-hez, korlátozni kell a hozzáférést **RBAC**-cal, kerülni a Secret manifestek verziókövetésbe commitolását, és gyakran egy külső secret managert integrálni. Mivel gyakorlatilag minden workloadnak szüksége van környezetfüggő konfigurációra és hitelesítő adatokra, és mivel a Secretek helytelen kezelése gyakori és komoly biztonsági rés, a ConfigMapok és Secretek biztos ismerete alapvető az alkalmazások biztonságos és helyes futtatásához Kubernetesen.

Az ötlet: a konfiguráció ki az image-ből

ConfigMap: nem érzékeny beállítások

Secret: érzékeny értékek

Injektálás egy Podba: env változóként vagy fájlként

Fontos figyelmeztetések a Secretekről

Miért fontos

Kapcsolódó kérdések