workloads मध्ये configuration inject करण्यासाठी ConfigMaps आणि Secrets कसे कार्य करतात?

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** आणि **Secrets** configuration ला container images पासून वेगळे करतात, त्यामुळे तेच image dev, staging आणि production मध्ये वेगवेगळ्या settings सह चालते. ConfigMaps **संवेदनशील नसलेली** config धारण करतात; Secrets **संवेदनशील** data (passwords, tokens, keys) धारण करतात आणि अधिक काळजीपूर्वक हाताळले जातात.

## कल्पना: config image बाहेर

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: संवेदनशील नसलेली settings

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: संवेदनशील values

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # इथे plaintext; etcd मध्ये base64-encoded साठवले जाते
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# secrets git मध्ये commit होऊ नयेत म्हणून सहसा imperatively तयार केले जाते:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Pod मध्ये inject करणे: env vars म्हणून किंवा files म्हणून

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # ConfigMap मधून एकच key
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # Secret मधून एकच key
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # सर्व keys env vars म्हणून import करा
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # config files म्हणून mount करा
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Secrets बद्दल महत्त्वाच्या सूचना

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## हे का महत्त्वाचे आहे

configuration ला code पासून वेगळे करणे ही एक मूलभूत operational प्रथा आहे, आणि ती Kubernetes ConfigMaps व Secrets द्वारे अंमलात आणते, त्यामुळे ती समजून घेणे हे अत्यावश्यक middle-स्तरीय ज्ञान आहे. environment-विशिष्ट settings image मध्ये baking करणे हा anti-pattern आहे — त्यामुळे प्रत्येक environment साठी rebuild करावे लागते व secrets गळण्याचा धोका असतो — म्हणून Kubernetes तुम्हाला एकच immutable image ठेवून runtime ला configuration inject करू देते: संवेदनशील नसलेल्या values (log levels, feature flags, config files) साठी **ConfigMaps** आणि संवेदनशील data (passwords, tokens, keys) साठी **Secrets**. ते वापरण्याचे दोन मार्ग जाणणे — **environment variables** म्हणून (`configMapKeyRef`/`secretKeyRef` द्वारे वैयक्तिक keys, किंवा `envFrom` द्वारे सर्व keys) आणि **mounted files** म्हणून (env vars startup ला एकदाच वाचले जातात तर mounted files live update होऊ शकतात या बारकाव्यासह) — खरी ऍप्लिकेशन्स deploy करण्यासाठी रोजचे व्यावहारिक ज्ञान आहे. तितकेच महत्त्वाचे म्हणजे अनेक engineers ना अडखळवणारे security बारकावे समजणे: Secret data default नुसार फक्त **base64-encoded असतो, encrypted नाही**, त्यामुळे त्याचे खरे संरक्षण करण्यासाठी etcd साठी **encryption at rest** सक्षम करणे, **RBAC** ने प्रवेश मर्यादित करणे, Secret manifests version control मध्ये commit न करणे, आणि बहुतेकदा बाह्य secret manager integrate करणे लागते. जवळपास प्रत्येक workload ला per-environment configuration व credentials लागतात, आणि Secrets चुकीच्या पद्धतीने हाताळणे ही एक सामान्य व गंभीर security त्रुटी आहे म्हणून, ConfigMaps व Secrets चे भक्कम आकलन Kubernetes वर ऍप्लिकेशन्स सुरक्षित व अचूक चालवण्यासाठी मूलभूत आहे.

कल्पना: config image बाहेर

ConfigMap: संवेदनशील नसलेली settings

Secret: संवेदनशील values

Pod मध्ये inject करणे: env vars म्हणून किंवा files म्हणून

Secrets बद्दल महत्त्वाच्या सूचना

हे का महत्त्वाचे आहे

संबंधित प्रश्न