Hvordan fungerer ConfigMaps og Secrets for å injisere konfigurasjon i workloads?

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** og **Secrets** frikobler konfigurasjon fra container-images, slik at det samme imaget kjører i dev, staging og produksjon med ulike innstillinger. ConfigMaps holder **ikke-sensitiv** konfigurasjon; Secrets holder **sensitive** data (passord, tokens, nøkler) og håndteres mer forsiktig.

## Idéen: konfigurasjon ut av imaget

```text
Image = kode (immutable, bygget én gang).  Config = verdier per miljø.
Å bake config inn i imaget er et anti-mønster (rebuild per miljø, secrets lekker).
→ Lagre config i ConfigMaps/Secrets, injiser ved runtime som env-vars eller filer.
```

## ConfigMap: ikke-sensitive innstillinger

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: sensitive verdier

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # klartekst her; lagres base64-kodet i etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Vanligvis opprettet imperativt for å unngå å committe secrets til git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Injisering i en Pod: som env-vars eller som filer

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # enkelt nøkkel fra en ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # enkelt nøkkel fra en Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # importer ALLE nøkler som env-vars
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # monter config som filer
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Viktige forbehold om Secrets

```text
⚠ Secret-data er base64-KODET, ikke kryptert, som standard.
  → Skru på ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Begrens tilgang med RBAC (hvem som kan 'get secrets').
  → Foretrekk eksterne managere (Vault, cloud Secrets Manager) eller sealed secrets.
  → Aldri commit ekte Secret-manifester til git.
Env-var-config leses ÉN gang ved container-start; monterte filer kan oppdateres live.
```

## Hvorfor det er viktig

Å skille konfigurasjon fra kode er en sentral operasjonell praksis, og ConfigMaps og Secrets er hvordan Kubernetes implementerer det, så å forstå dem er essensiell kunnskap på middle-nivå. Å bake miljøspesifikke innstillinger inn i et image er et anti-mønster — det tvinger frem en rebuild per miljø og risikerer å lekke secrets — så Kubernetes lar deg beholde ett enkelt immutable image og injisere konfigurasjon ved runtime: **ConfigMaps** for ikke-sensitive verdier (log-nivåer, feature flags, config-filer) og **Secrets** for sensitive data (passord, tokens, nøkler). Å kjenne de to måtene å konsumere dem på — som **miljøvariabler** (enkeltnøkler via `configMapKeyRef`/`secretKeyRef`, eller alle nøkler via `envFrom`) og som **monterte filer** (med nyansen at env-vars leses én gang ved oppstart mens monterte filer kan oppdateres live) — er dagligdags praktisk kunnskap for å rulle ut ekte applikasjoner. Like viktig er det å forstå sikkerhetsforbeholdene som feller mange ingeniører: Secret-data er som standard bare **base64-kodet, ikke kryptert**, så å genuint beskytte det krever å skru på **encryption at rest** for etcd, begrense tilgang med **RBAC**, unngå å committe Secret-manifester til versjonskontroll, og ofte integrere en ekstern secret manager. Fordi praktisk talt hver workload trenger konfigurasjon og credentials per miljø, og fordi feilhåndtering av Secrets er et vanlig og alvorlig sikkerhetshull, er et solid grep om ConfigMaps og Secrets grunnleggende for å kjøre applikasjoner trygt og korrekt på Kubernetes.

Idéen: konfigurasjon ut av imaget

ConfigMap: ikke-sensitive innstillinger

Secret: sensitive verdier

Injisering i en Pod: som env-vars eller som filer

Viktige forbehold om Secrets

Hvorfor det er viktig

Relaterte spørsmål