Kif jaħdmu l-ConfigMaps u s-Secrets biex jinjettaw il-konfigurazzjoni fil-workloads?

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** u **Secrets** jisseparaw il-konfigurazzjoni mill-container images, biex l-istess image jaħdem fi dev, staging, u produzzjoni b'settings differenti. Il-ConfigMaps iżommu config **mhux sensittiva**; is-Secrets iżommu data **sensittiva** (passwords, tokens, keys) u jiġu mmaniġġjati b'aktar attenzjoni.

## L-idea: config barra mill-image

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: settings mhux sensittivi

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: valuri sensittivi

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # test sempliċi hawn; maħżun base64-encoded f'etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Ġeneralment maħluq b'mod imperattiv biex ma tikkommettix secrets f'git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Injettar f'Pod: bħala env vars jew bħala files

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # key waħda minn ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # key waħda minn Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # importa l-keys KOLLHA bħala env vars
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # immonta l-config bħala files
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Twissijiet importanti dwar is-Secrets

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## Għaliex huwa importanti

Li tissepara l-konfigurazzjoni mill-kodiċi hija prattika operattiva ewlenija, u l-ConfigMaps u s-Secrets huma kif Kubernetes jimplimentaha, għalhekk li tifhimhom huwa għarfien essenzjali tal-livell middle. Li tħoll settings speċifiċi għall-ambjent f'image hija anti-pattern — iġġiegħlek terġa' tibni għal kull ambjent u tirriskja li joħorġu s-secrets — għalhekk Kubernetes iħallik iżżomm image immutabbli wieħed u tinjetta l-konfigurazzjoni fir-runtime: **ConfigMaps** għal valuri mhux sensittivi (log levels, feature flags, config files) u **Secrets** għal data sensittiva (passwords, tokens, keys). Li tkun taf iż-żewġ modi kif tużahom — bħala **environment variables** (keys individwali permezz ta' `configMapKeyRef`/`secretKeyRef`, jew il-keys kollha permezz ta' `envFrom`) u bħala **files immontati** (bin-nuanza li l-env vars jinqraw darba mal-bidu filwaqt li l-files immontati jistgħu jiġu aġġornati live) — huwa għarfien prattiku ta' kuljum biex tiddeployja applikazzjonijiet reali. Ta' importanza ugwali huwa li tifhem it-twissijiet tas-security li jwaqqgħu ħafna inġiniera: id-data tas-Secret hija biss **base64-encoded, mhux ikkriptata**, b'default, għalhekk biex tabilħaqq tipproteġiha teħtieġ li tattiva l-**encryption at rest** għal etcd, tirrestrinġi l-aċċess bl-**RBAC**, tevita li tikkommetti l-Secret manifests fil-version control, u spiss tintegra secret manager estern. Peress li virtwalment kull workload jeħtieġ konfigurazzjoni u kredenzjali speċifiċi għall-ambjent, u peress li li timmaniġġja s-Secrets ħażin huwa nuqqas ta' security komuni u serju, fehim solidu tal-ConfigMaps u s-Secrets huwa fundamentali biex tħaddem l-applikazzjonijiet b'mod sikur u korrett fuq Kubernetes.

L-idea: config barra mill-image

ConfigMap: settings mhux sensittivi

Secret: valuri sensittivi

Injettar f'Pod: bħala env vars jew bħala files

Twissijiet importanti dwar is-Secrets

Għaliex huwa importanti

Mistoqsijiet relatati