Hur fungerar ConfigMaps och Secrets för att injicera konfiguration i workloads?

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** och **Secrets** frikopplar konfiguration från container-images, så att samma image körs i dev, staging och produktion med olika inställningar. ConfigMaps håller **icke-känslig** config; Secrets håller **känslig** data (lösenord, tokens, nycklar) och hanteras mer varsamt.

## Idén: config ut ur imagen

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: icke-känsliga inställningar

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: känsliga värden

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # klartext här; lagras base64-kodat i etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Skapas oftast imperativt för att undvika att committa secrets till git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Injicera i en Pod: som env-variabler eller som filer

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # enskild nyckel från en ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # enskild nyckel från en Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # importera ALLA nycklar som env-variabler
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # montera config som filer
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Viktiga förbehåll om Secrets

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## Varför det är viktigt

Att separera konfiguration från kod är en central driftspraxis, och ConfigMaps och Secrets är hur Kubernetes implementerar det, så att förstå dem är väsentlig kunskap på middle-nivå. Att baka in miljöspecifika inställningar i en image är ett antimönster — det tvingar fram en ombyggnad per miljö och riskerar att läcka secrets — så Kubernetes låter dig behålla en enda oföränderlig image och injicera konfiguration vid körning: **ConfigMaps** för icke-känsliga värden (loggnivåer, feature flags, konfigurationsfiler) och **Secrets** för känslig data (lösenord, tokens, nycklar). Att känna till de två sätten att konsumera dem — som **miljövariabler** (enskilda nycklar via `configMapKeyRef`/`secretKeyRef`, eller alla nycklar via `envFrom`) och som **monterade filer** (med nyansen att env-variabler läses en gång vid start medan monterade filer kan uppdateras live) — är daglig, praktisk kunskap för att driftsätta riktiga applikationer. Lika viktigt är att förstå de säkerhetsförbehåll som fäller många ingenjörer: Secret-data är som standard endast **base64-kodat, inte krypterat**, så att verkligen skydda det kräver att man aktiverar **encryption at rest** för etcd, begränsar åtkomst med **RBAC**, undviker att committa Secret-manifest till versionshantering, och ofta integrerar en extern secret manager. Eftersom praktiskt taget varje workload behöver miljöspecifik konfiguration och credentials, och eftersom felhantering av Secrets är en vanlig och allvarlig säkerhetslucka, är en gedigen förståelse av ConfigMaps och Secrets grundläggande för att köra applikationer säkert och korrekt på Kubernetes.

Idén: config ut ur imagen

ConfigMap: icke-känsliga inställningar

Secret: känsliga värden

Injicera i en Pod: som env-variabler eller som filer

Viktiga förbehåll om Secrets

Varför det är viktigt

Relaterade frågor