ConfigMaps ਅਤੇ Secrets workload ਵਿੱਚ configuration inject ਕਰਨ ਲਈ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ?

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** ਅਤੇ **Secrets** configuration ਨੂੰ container image ਤੋਂ ਵੱਖ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਇੱਕੋ image dev, staging, ਅਤੇ production ਵਿੱਚ ਵੱਖ-ਵੱਖ settings ਨਾਲ ਚੱਲਦੀ ਹੈ। ConfigMaps **ਗ਼ੈਰ-ਸੰਵੇਦਨਸ਼ੀਲ** config ਰੱਖਦੇ ਹਨ; Secrets **ਸੰਵੇਦਨਸ਼ੀਲ** data (passwords, tokens, keys) ਰੱਖਦੇ ਹਨ ਅਤੇ ਵੱਧ ਧਿਆਨ ਨਾਲ ਸੰਭਾਲੇ ਜਾਂਦੇ ਹਨ।

## ਵਿਚਾਰ: config ਨੂੰ image ਤੋਂ ਬਾਹਰ ਰੱਖੋ

```text
Image = code (ਅਪਰਿਵਰਤਨਸ਼ੀਲ, ਇੱਕ ਵਾਰ build)। Config = ਹਰ-ਵਾਤਾਵਰਣ ਦੇ ਮੁੱਲ।
config ਨੂੰ image ਵਿੱਚ ਪਕਾਉਣਾ ਇੱਕ anti-pattern ਹੈ (ਹਰ env 'ਤੇ rebuild, secret ਲੀਕ)।
→ config ਨੂੰ ConfigMaps/Secrets ਵਿੱਚ ਰੱਖੋ, runtime 'ਤੇ env var ਜਾਂ file ਵਜੋਂ inject ਕਰੋ।
```

## ConfigMap: ਗ਼ੈਰ-ਸੰਵੇਦਨਸ਼ੀਲ settings

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: ਸੰਵੇਦਨਸ਼ੀਲ ਮੁੱਲ

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # ਇੱਥੇ plaintext; etcd ਵਿੱਚ base64-encoded ਸਟੋਰ ਹੁੰਦਾ ਹੈ
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# ਆਮ ਤੌਰ 'ਤੇ imperative ਢੰਗ ਨਾਲ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ ਤਾਂ ਜੋ secret git ਵਿੱਚ commit ਨਾ ਹੋਵੇ:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## ਇੱਕ Pod ਵਿੱਚ inject ਕਰਨਾ: env var ਵਜੋਂ ਜਾਂ file ਵਜੋਂ

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # ConfigMap ਤੋਂ ਇੱਕ key
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # Secret ਤੋਂ ਇੱਕ key
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # ਸਾਰੀਆਂ key ਨੂੰ env var ਵਜੋਂ import ਕਰੋ
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # config ਨੂੰ file ਵਜੋਂ mount ਕਰੋ
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Secrets ਬਾਰੇ ਮਹੱਤਵਪੂਰਨ ਸਾਵਧਾਨੀਆਂ

```text
⚠ Secret data default ਤੌਰ 'ਤੇ base64-ENCODED ਹੈ, encrypted ਨਹੀਂ।
  → etcd ਲਈ ENCRYPTION AT REST ਚਾਲੂ ਕਰੋ (EncryptionConfiguration)।
  → RBAC ਨਾਲ ਪਹੁੰਚ ਸੀਮਤ ਕਰੋ (ਕੌਣ 'get secrets' ਕਰ ਸਕਦਾ ਹੈ)।
  → ਬਾਹਰੀ managers (Vault, cloud Secrets Manager) ਜਾਂ sealed secrets ਨੂੰ ਤਰਜੀਹ ਦਿਓ।
  → ਅਸਲੀ Secret manifests ਨੂੰ ਕਦੇ git ਵਿੱਚ commit ਨਾ ਕਰੋ।
Env-var config container start 'ਤੇ ਇੱਕ ਵਾਰ ਪੜ੍ਹੀ ਜਾਂਦੀ ਹੈ; mounted files live update ਹੋ ਸਕਦੇ ਹਨ।
```

## ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

Configuration ਨੂੰ code ਤੋਂ ਵੱਖ ਕਰਨਾ ਇੱਕ ਮੁੱਖ ਪਰਿਚਾਲਨ ਅਭਿਆਸ ਹੈ, ਅਤੇ ConfigMaps ਤੇ Secrets ਹੀ ਉਹ ਤਰੀਕਾ ਹਨ ਜਿਸ ਨਾਲ Kubernetes ਇਸਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹਨਾਂ ਨੂੰ ਸਮਝਣਾ ਜ਼ਰੂਰੀ middle-level ਗਿਆਨ ਹੈ। ਵਾਤਾਵਰਣ-ਵਿਸ਼ੇਸ਼ settings ਨੂੰ ਇੱਕ image ਵਿੱਚ ਪਕਾਉਣਾ ਇੱਕ anti-pattern ਹੈ — ਇਹ ਹਰ ਵਾਤਾਵਰਣ 'ਤੇ rebuild ਮਜਬੂਰ ਕਰਦਾ ਹੈ ਅਤੇ secret ਲੀਕ ਹੋਣ ਦਾ ਖ਼ਤਰਾ ਰੱਖਦਾ ਹੈ — ਇਸ ਲਈ Kubernetes ਤੁਹਾਨੂੰ ਇੱਕ ਇਕੱਲੀ ਅਪਰਿਵਰਤਨਸ਼ੀਲ image ਰੱਖਣ ਅਤੇ runtime 'ਤੇ configuration inject ਕਰਨ ਦਿੰਦਾ ਹੈ: ਗ਼ੈਰ-ਸੰਵੇਦਨਸ਼ੀਲ ਮੁੱਲਾਂ (log levels, feature flags, config files) ਲਈ **ConfigMaps** ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ data (passwords, tokens, keys) ਲਈ **Secrets**। ਇਹਨਾਂ ਨੂੰ ਵਰਤਣ ਦੇ ਦੋ ਤਰੀਕੇ ਜਾਣਨਾ — **environment variables** ਵਜੋਂ (`configMapKeyRef`/`secretKeyRef` ਰਾਹੀਂ ਵਿਅਕਤੀਗਤ key, ਜਾਂ `envFrom` ਰਾਹੀਂ ਸਾਰੀਆਂ key) ਅਤੇ **mounted files** ਵਜੋਂ (ਇਸ ਬਾਰੀਕੀ ਨਾਲ ਕਿ env var start 'ਤੇ ਇੱਕ ਵਾਰ ਪੜ੍ਹੀ ਜਾਂਦੀ ਹੈ ਜਦੋਂ ਕਿ mounted files live update ਹੋ ਸਕਦੇ ਹਨ) — ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ deploy ਕਰਨ ਲਈ ਰੋਜ਼ਾਨਾ ਦਾ ਵਿਹਾਰਕ ਗਿਆਨ ਹੈ। ਇੰਨਾ ਹੀ ਮਹੱਤਵਪੂਰਨ ਉਹ security ਸਾਵਧਾਨੀਆਂ ਨੂੰ ਸਮਝਣਾ ਹੈ ਜੋ ਕਈ engineers ਨੂੰ ਠੋਕਰ ਖੁਆਉਂਦੀਆਂ ਹਨ: Secret data default ਤੌਰ 'ਤੇ ਸਿਰਫ਼ **base64-encoded, encrypted ਨਹੀਂ** ਹੈ, ਇਸ ਲਈ ਇਸਨੂੰ ਸੱਚਮੁੱਚ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ etcd ਲਈ **encryption at rest** ਚਾਲੂ ਕਰਨਾ, **RBAC** ਨਾਲ ਪਹੁੰਚ ਸੀਮਤ ਕਰਨਾ, Secret manifests ਨੂੰ version control ਵਿੱਚ commit ਕਰਨ ਤੋਂ ਬਚਣਾ, ਅਤੇ ਅਕਸਰ ਇੱਕ ਬਾਹਰੀ secret manager integrate ਕਰਨਾ ਲੋੜੀਂਦਾ ਹੁੰਦਾ ਹੈ। ਕਿਉਂਕਿ ਲਗਭਗ ਹਰ workload ਨੂੰ ਹਰ-ਵਾਤਾਵਰਣ configuration ਅਤੇ credentials ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਕਿਉਂਕਿ Secrets ਨੂੰ ਗ਼ਲਤ ਸੰਭਾਲਣਾ ਇੱਕ ਆਮ ਅਤੇ ਗੰਭੀਰ security ਪਾੜਾ ਹੈ, ConfigMaps ਅਤੇ Secrets ਦੀ ਮਜ਼ਬੂਤ ਪਕੜ Kubernetes 'ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਸੁਰੱਖਿਅਤ ਅਤੇ ਸਹੀ ਢੰਗ ਨਾਲ ਚਲਾਉਣ ਦੀ ਨੀਂਹ ਹੈ।

ਵਿਚਾਰ: config ਨੂੰ image ਤੋਂ ਬਾਹਰ ਰੱਖੋ

ConfigMap: ਗ਼ੈਰ-ਸੰਵੇਦਨਸ਼ੀਲ settings

Secret: ਸੰਵੇਦਨਸ਼ੀਲ ਮੁੱਲ

ਇੱਕ Pod ਵਿੱਚ inject ਕਰਨਾ: env var ਵਜੋਂ ਜਾਂ file ਵਜੋਂ

Secrets ਬਾਰੇ ਮਹੱਤਵਪੂਰਨ ਸਾਵਧਾਨੀਆਂ

ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

ਸੰਬੰਧਿਤ ਸਵਾਲ