ConfigMap และ Secret ทำงานอย่างไรในการ inject การตั้งค่าเข้าสู่ workload?

Question

IT Interview Practice · Accepted Answer

**ConfigMap** และ **Secret** แยกการตั้งค่าออกจาก image ของ container เพื่อให้ image เดียวกันรันได้ทั้งใน dev, staging และ production ด้วยการตั้งค่าที่ต่างกัน ConfigMap เก็บ config ที่ **ไม่อ่อนไหว**; Secret เก็บข้อมูล **อ่อนไหว** (รหัสผ่าน, token, key) และถูกจัดการอย่างระมัดระวังกว่า

## แนวคิด: เอา config ออกจาก image

```text
Image = code (immutable, build ครั้งเดียว)  Config = ค่าตามแต่ละสภาพแวดล้อม
การอบ config เข้าไปใน image เป็น anti-pattern (build ใหม่ต่อสภาพแวดล้อม, secret รั่ว)
→ เก็บ config ใน ConfigMap/Secret, inject ตอน runtime เป็น env var หรือ file
```

## ConfigMap: การตั้งค่าที่ไม่อ่อนไหว

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: ค่าที่อ่อนไหว

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # plaintext ตรงนี้; เก็บแบบ base64 ใน etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# มักสร้างแบบ imperative เพื่อเลี่ยงการ commit secret เข้า git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## การ inject เข้า Pod: เป็น env var หรือเป็น file

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # key เดียวจาก ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # key เดียวจาก Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # นำเข้า key ทั้งหมดเป็น env var
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # mount config เป็น file
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## ข้อควรระวังสำคัญเกี่ยวกับ Secret

```text
⚠ ข้อมูล Secret ถูก ENCODE เป็น base64 ไม่ได้ถูกเข้ารหัส โดยค่าเริ่มต้น
  → เปิด ENCRYPTION AT REST สำหรับ etcd (EncryptionConfiguration)
  → จำกัดการเข้าถึงด้วย RBAC (ใครทำ 'get secrets' ได้)
  → เลือกใช้ตัวจัดการภายนอก (Vault, cloud Secrets Manager) หรือ sealed secret
  → อย่า commit manifest Secret จริงเข้า git
config แบบ env var อ่านครั้งเดียวตอน container เริ่ม; file ที่ mount อัปเดตแบบ live ได้
```

## ทำไมจึงสำคัญ

การแยกการตั้งค่าออกจาก code เป็นแนวปฏิบัติหลักด้านการดำเนินงาน และ ConfigMap กับ Secret คือวิธีที่ Kubernetes ทำให้มันเป็นจริง ดังนั้นการเข้าใจมันจึงเป็นความรู้ระดับกลางที่จำเป็น การอบการตั้งค่าเฉพาะสภาพแวดล้อมเข้าไปใน image เป็น anti-pattern — มันบังคับให้ build ใหม่ต่อสภาพแวดล้อมและเสี่ยงต่อการทำ secret รั่ว — Kubernetes จึงให้คุณเก็บ image เดียวที่ไม่เปลี่ยนแปลงและ inject การตั้งค่าตอน runtime: **ConfigMap** สำหรับค่าที่ไม่อ่อนไหว (log level, feature flag, ไฟล์ config) และ **Secret** สำหรับข้อมูลอ่อนไหว (รหัสผ่าน, token, key) การรู้สองวิธีในการบริโภคมัน — เป็น **ตัวแปรสภาพแวดล้อม** (แต่ละ key ผ่าน `configMapKeyRef`/`secretKeyRef` หรือ key ทั้งหมดผ่าน `envFrom`) และเป็น **ไฟล์ที่ mount** (โดยมีจุดละเอียดว่า env var อ่านครั้งเดียวตอนเริ่ม ขณะที่ไฟล์ที่ mount อัปเดตแบบ live ได้) — เป็นความรู้เชิงปฏิบัติประจำวันในการ deploy แอปจริง สิ่งที่สำคัญไม่แพ้กันคือการเข้าใจข้อควรระวังด้านความปลอดภัยที่ทำให้วิศวกรหลายคนสะดุด: ข้อมูล Secret โดยค่าเริ่มต้นเพียงถูก **encode เป็น base64 ไม่ได้เข้ารหัส** ดังนั้นการปกป้องมันอย่างแท้จริงต้องเปิด **encryption at rest** สำหรับ etcd, จำกัดการเข้าถึงด้วย **RBAC**, เลี่ยงการ commit manifest Secret เข้า version control และมักต้องผสานตัวจัดการ secret ภายนอก เพราะแทบทุก workload ต้องการการตั้งค่าและ credential ตามสภาพแวดล้อม และเพราะการจัดการ Secret ผิดพลาดเป็นช่องโหว่ด้านความปลอดภัยที่พบบ่อยและร้ายแรง ความเข้าใจ ConfigMap และ Secret อย่างมั่นคงจึงเป็นรากฐานของการรันแอปพลิเคชันอย่างปลอดภัยและถูกต้องบน Kubernetes

แนวคิด: เอา config ออกจาก image

ConfigMap: การตั้งค่าที่ไม่อ่อนไหว

Secret: ค่าที่อ่อนไหว

การ inject เข้า Pod: เป็น env var หรือเป็น file

ข้อควรระวังสำคัญเกี่ยวกับ Secret

ทำไมจึงสำคัญ

คำถามที่เกี่ยวข้อง