Bagaimana ConfigMap dan Secret bekerja untuk menyuntikkan konfigurasi ke dalam workload?

Question

IT Interview Practice · Accepted Answer

**ConfigMap** dan **Secret** memisahkan konfigurasi dari image container, sehingga image yang sama berjalan di dev, staging, dan production dengan pengaturan berbeda. ConfigMap menyimpan config **non-sensitif**; Secret menyimpan data **sensitif** (password, token, key) dan ditangani dengan lebih hati-hati.

## Idenya: config di luar image

```text
Image = kode (immutable, dibuat sekali).  Config = nilai per-environment.
Menanamkan config ke dalam image adalah anti-pattern (build ulang tiap env, secret bocor).
→ Simpan config di ConfigMap/Secret, suntikkan saat runtime sebagai env var atau file.
```

## ConfigMap: pengaturan non-sensitif

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: nilai sensitif

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # plaintext di sini; disimpan base64-encoded di etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Biasanya dibuat secara imperatif agar secret tidak ter-commit ke git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Menyuntikkan ke dalam Pod: sebagai env var atau sebagai file

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # satu key dari sebuah ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # satu key dari sebuah Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # impor SEMUA key sebagai env var
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # mount config sebagai file
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Catatan penting tentang Secret

```text
⚠ Data Secret hanya base64-ENCODED, bukan terenkripsi, secara default.
  → Aktifkan ENCRYPTION AT REST untuk etcd (EncryptionConfiguration).
  → Batasi akses dengan RBAC (siapa yang boleh 'get secrets').
  → Utamakan manajer eksternal (Vault, cloud Secrets Manager) atau sealed secret.
  → Jangan pernah commit manifest Secret asli ke git.
Config env-var dibaca SEKALI saat container start; file yang di-mount bisa update live.
```

## Mengapa ini penting

Memisahkan konfigurasi dari kode adalah praktik operasional inti, dan ConfigMap serta Secret adalah cara Kubernetes mengimplementasikannya, sehingga memahaminya adalah pengetahuan esensial di level menengah. Menanamkan pengaturan spesifik-environment ke dalam image adalah anti-pattern — ini memaksa build ulang per environment dan berisiko membocorkan secret — sehingga Kubernetes memungkinkan Anda menjaga satu image immutable dan menyuntikkan konfigurasi saat runtime: **ConfigMap** untuk nilai non-sensitif (log level, feature flag, file config) dan **Secret** untuk data sensitif (password, token, key). Mengetahui dua cara memakainya — sebagai **environment variable** (key individual lewat `configMapKeyRef`/`secretKeyRef`, atau semua key lewat `envFrom`) dan sebagai **file yang di-mount** (dengan nuansa bahwa env var dibaca sekali saat startup sedangkan file yang di-mount bisa update secara live) — adalah pengetahuan praktis sehari-hari untuk men-deploy aplikasi nyata. Sama pentingnya adalah memahami catatan keamanan yang menjebak banyak insinyur: data Secret secara default hanya **base64-encoded, bukan terenkripsi**, sehingga melindunginya secara sungguh-sungguh mengharuskan mengaktifkan **encryption at rest** untuk etcd, membatasi akses dengan **RBAC**, menghindari commit manifest Secret ke version control, dan sering kali mengintegrasikan manajer secret eksternal. Karena hampir setiap workload membutuhkan konfigurasi dan kredensial per-environment, dan karena salah menangani Secret adalah celah keamanan yang umum dan serius, pemahaman kokoh atas ConfigMap dan Secret adalah fondasi untuk menjalankan aplikasi secara aman dan benar di Kubernetes.

Idenya: config di luar image

ConfigMap: pengaturan non-sensitif

Secret: nilai sensitif

Menyuntikkan ke dalam Pod: sebagai env var atau sebagai file

Catatan penting tentang Secret

Mengapa ini penting

Pertanyaan terkait