Workload मा configuration inject गर्न ConfigMap र Secret कसरी काम गर्छन्?

Question

IT Interview Practice · Accepted Answer

**ConfigMap** र **Secret** ले configuration लाई container image बाट अलग गर्छन्, त्यसैले उही image dev, staging र production मा फरक-फरक सेटिङसहित चल्छ। ConfigMap ले **गैर-संवेदनशील** config राख्छ; Secret ले **संवेदनशील** डेटा (password, token, key) राख्छ र अझ सावधानीपूर्वक सम्हालिन्छ।

## विचार: image बाहिर config

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: गैर-संवेदनशील सेटिङ

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: संवेदनशील मान

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # यहाँ plaintext; etcd मा base64-encoded भई भण्डारण हुन्छ
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# प्रायः imperative रूपमा बनाइन्छ ताकि secret git मा commit नहोस्:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Pod मा inject गर्दै: env var का रूपमा वा file का रूपमा

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # ConfigMap बाट एउटै key
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # Secret बाट एउटै key
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # सबै key लाई env var का रूपमा import गर्नुहोस्
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # config लाई file का रूपमा mount गर्नुहोस्
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Secret बारे महत्त्वपूर्ण सावधानीहरू

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## यो किन महत्त्वपूर्ण छ

Configuration लाई code बाट छुट्याउनु एउटा मुख्य operational अभ्यास हो, र ConfigMap तथा Secret नै Kubernetes ले यो लागू गर्ने तरिका हुन्, त्यसैले तिनलाई बुझ्नु अत्यावश्यक middle-स्तरको ज्ञान हो। Environment-निर्दिष्ट सेटिङहरू image भित्र बेक गर्नु एउटा anti-pattern हो — यसले प्रत्येक environment का लागि rebuild गर्न बाध्य पार्छ र secret चुहिने जोखिम राख्छ — त्यसैले Kubernetes ले तपाईंलाई एउटै immutable image राख्न र runtime मा configuration inject गर्न दिन्छ: गैर-संवेदनशील मान (log level, feature flag, config file) का लागि **ConfigMap** र संवेदनशील डेटा (password, token, key) का लागि **Secret**। तिनलाई प्रयोग गर्ने दुई तरिका थाहा पाउनु — **environment variable** का रूपमा (`configMapKeyRef`/`secretKeyRef` मार्फत छुट्टाछुट्टै key, वा `envFrom` मार्फत सबै key) र **mount गरिएका file** का रूपमा (यो सूक्ष्मतासहित कि env var सुरुमा एकपटक पढिन्छ भने mount गरिएका file live update हुन सक्छन्) — वास्तविक एप्लिकेसन deploy गर्ने दैनिक व्यावहारिक ज्ञान हो। त्यत्तिकै महत्त्वपूर्ण छ, धेरै इन्जिनियरलाई अल्झाउने security सावधानीहरू बुझ्नु: Secret data default मा केवल **base64-encoded हुन्छ, encrypt होइन**, त्यसैले यसलाई साँच्चै सुरक्षित गर्न etcd का लागि **encryption at rest** सक्षम गर्नु, **RBAC** ले पहुँच सीमित गर्नु, Secret manifest लाई version control मा commit नगर्नु, र प्रायः बाह्य secret manager एकीकृत गर्नु आवश्यक हुन्छ। किनभने लगभग हरेक workload लाई per-environment configuration र credential चाहिन्छ, र Secret गलत तरिकाले सम्हाल्नु सामान्य र गम्भीर security कमजोरी हो, ConfigMap र Secret को बलियो पकड Kubernetes मा एप्लिकेसन सुरक्षित र सही तरिकाले चलाउने आधारभूत कुरा हो।

विचार: image बाहिर config

ConfigMap: गैर-संवेदनशील सेटिङ

Secret: संवेदनशील मान

Pod मा inject गर्दै: env var का रूपमा वा file का रूपमा

Secret बारे महत्त्वपूर्ण सावधानीहरू

यो किन महत्त्वपूर्ण छ

सम्बन्धित प्रश्नहरू