Kepiyé ConfigMap lan Secret makarya kanggo nyuntikaké konfigurasi menyang workload?

Question

IT Interview Practice · Accepted Answer

**ConfigMap** lan **Secret** misahaké konfigurasi saka image container, dadi image sing padha mlaku ing dev, staging, lan production kanthi setelan sing béda. ConfigMap nyekel config **non-sensitif**; Secret nyekel data **sensitif** (password, token, key) lan ditangani kanthi luwih ati-ati.

## Idené: config metu saka image

```text
Image = kode (immutable, dibangun sepisan).  Config = nilai saben-lingkungan.
Nge-bake config menyang image iku anti-pattern (bangun ulang saben env, secret bocor).
→ Simpen config ing ConfigMap/Secret, suntik nalika runtime minangka env var utawa file.
```

## ConfigMap: setelan non-sensitif

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: nilai sensitif

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # plaintext ing kéné; disimpen base64-encoded ing etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Biasané digawé kanthi imperatif supaya secret ora ke-commit menyang git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Nyuntikaké menyang Pod: minangka env var utawa minangka file

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # siji key saka ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # siji key saka Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # impor KABÈH key minangka env var
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # mount config minangka file
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Bab penting babagan Secret

```text
⚠ Data Secret iku base64-ENCODED, dudu dienkripsi, kanthi default.
  → Aktifaké ENKRIPSI SAAT ISTIRAHAT kanggo etcd (EncryptionConfiguration).
  → Watesi akses nganggo RBAC (sapa sing bisa 'get secrets').
  → Luwih becik nganggo manajer eksternal (Vault, cloud Secrets Manager) utawa sealed secret.
  → Aja tau nge-commit manifest Secret nyata menyang git.
Config env-var diwaca SEPISAN nalika container wiwit; file sing di-mount bisa update langsung.
```

## Kenapa iki penting

Misahaké konfigurasi saka kode iku praktik operasional inti, lan ConfigMap sarta Secret yaiku carané Kubernetes ngimplementasikaké iku, mula ngerti dhèwèké yaiku kawruh tingkat middle sing penting. Nge-bake setelan spesifik-lingkungan menyang image iku anti-pattern — meksa bangun ulang saben lingkungan lan mbebayani bocoré secret — mula Kubernetes ngidini sampeyan njaga siji image immutable lan nyuntikaké konfigurasi nalika runtime: **ConfigMap** kanggo nilai non-sensitif (log level, feature flag, file config) lan **Secret** kanggo data sensitif (password, token, key). Ngerti rong cara nganggoné — minangka **environment variable** (key individu liwat `configMapKeyRef`/`secretKeyRef`, utawa kabèh key liwat `envFrom`) lan minangka **file sing di-mount** (kanthi bédané yèn env var diwaca sepisan nalika wiwitan déné file sing di-mount bisa update langsung) — iku kawruh praktis saben dina kanggo nge-deploy aplikasi nyata. Padha pentingé yaiku ngerti bab keamanan sing asring gawé insinyur kesandhung: data Secret mung **base64-encoded, dudu dienkripsi**, kanthi default, mula nglindhungi tenanan mbutuhaké ngaktifaké **enkripsi saat istirahat** kanggo etcd, matesi akses nganggo **RBAC**, ora nge-commit manifest Secret menyang version control, lan asring integrasi manajer secret eksternal. Amarga mèh saben workload butuh konfigurasi saben-lingkungan lan kredensial, lan amarga salah nangani Secret iku celah keamanan sing umum lan serius, nangkep kanthi kukuh ConfigMap lan Secret iku dhasar kanggo njalanaké aplikasi kanthi aman lan bener ing Kubernetes.

Idené: config metu saka image

ConfigMap: setelan non-sensitif

Secret: nilai sensitif

Nyuntikaké menyang Pod: minangka env var utawa minangka file

Bab penting babagan Secret

Kenapa iki penting

Pitakon sing gegandhengan