ConfigMaps na Secrets hufanyaje kazi kuingiza usanidi kwenye workloads?

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** na **Secrets** hutenganisha usanidi na container images, ili image ile ile iendeshwe kwenye dev, staging, na production na mipangilio tofauti. ConfigMaps hushikilia config **isiyo nyeti**; Secrets hushikilia data **nyeti** (nywila, tokens, keys) na hushughulikiwa kwa uangalifu zaidi.

## Wazo: config nje ya image

```text
Image = code (isiyobadilika, hujengwa mara moja).  Config = thamani kwa kila mazingira.
Kuoka config ndani ya image ni anti-pattern (jenga upya kwa kila env, secrets huvuja).
→ Hifadhi config kwenye ConfigMaps/Secrets, ingiza wakati wa runtime kama env vars au faili.
```

## ConfigMap: mipangilio isiyo nyeti

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: thamani nyeti

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # maandishi wazi hapa; huhifadhiwa base64-encoded kwenye etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Kawaida huundwa kwa imperative ili kuepuka ku-commit secrets kwenye git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Kuingiza ndani ya Pod: kama env vars au kama faili

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # key moja kutoka ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # key moja kutoka Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # ingiza keys ZOTE kama env vars
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # weka config kama faili
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Tahadhari muhimu kuhusu Secrets

```text
⚠ Data ya Secret ni base64-ENCODED, si iliyofichwa (encrypted), kwa chaguo-msingi.
  → Wezesha ENCRYPTION AT REST kwa etcd (EncryptionConfiguration).
  → Zuia ufikiaji kwa RBAC (nani anaweza 'get secrets').
  → Pendelea external managers (Vault, cloud Secrets Manager) au sealed secrets.
  → Kamwe usi-commit Secret manifests halisi kwenye git.
Config ya env-var husomwa MARA MOJA wakati container inaanza; faili zilizowekwa zinaweza kubadilika moja kwa moja.
```

## Kwa nini ni muhimu

Kutenganisha usanidi na code ni tabia ya msingi ya uendeshaji, na ConfigMaps na Secrets ndiyo jinsi Kubernetes inavyoitekeleza, hivyo kuzielewa ni maarifa muhimu ya ngazi ya kati. Kuoka mipangilio maalum ya mazingira ndani ya image ni anti-pattern — hulazimisha kujenga upya kwa kila mazingira na huhatarisha kuvuja kwa secrets — hivyo Kubernetes hukuruhusu kuweka image moja isiyobadilika na kuingiza usanidi wakati wa runtime: **ConfigMaps** kwa thamani zisizo nyeti (log levels, feature flags, faili za config) na **Secrets** kwa data nyeti (nywila, tokens, keys). Kujua njia mbili za kuzitumia — kama **environment variables** (keys binafsi kupitia `configMapKeyRef`/`secretKeyRef`, au keys zote kupitia `envFrom`) na kama **faili zilizowekwa** (na nuance kwamba env vars husomwa mara moja wakati wa kuanza wakati faili zilizowekwa zinaweza kubadilika moja kwa moja) — ni maarifa ya kivitendo ya kila siku kwa kupeleka programu halisi. Muhimu kwa usawa ni kuelewa tahadhari za usalama zinazowaangusha wahandisi wengi: data ya Secret ni **base64-encoded tu, si iliyofichwa**, kwa chaguo-msingi, hivyo kuilinda kikweli kunahitaji kuwezesha **encryption at rest** kwa etcd, kuzuia ufikiaji kwa **RBAC**, kuepuka ku-commit Secret manifests kwenye version control, na mara nyingi kuunganisha external secret manager. Kwa kuwa karibu kila workload huhitaji usanidi na credentials kwa kila mazingira, na kwa kuwa kushughulikia vibaya Secrets ni pengo la kawaida na kubwa la usalama, kuelewa vizuri ConfigMaps na Secrets ni msingi wa kuendesha programu kwa usalama na usahihi kwenye Kubernetes.

Wazo: config nje ya image

ConfigMap: mipangilio isiyo nyeti

Secret: thamani nyeti

Kuingiza ndani ya Pod: kama env vars au kama faili

Tahadhari muhimu kuhusu Secrets

Kwa nini ni muhimu

Maswali yanayohusiana