workloads میں configuration داخل کرنے کے لیے ConfigMaps اور Secrets کیسے کام کرتے ہیں؟

Question

IT Interview Practice · Accepted Answer

**ConfigMaps** اور **Secrets** configuration کو container images سے الگ کر دیتے ہیں، تاکہ وہی image dev، staging، اور production میں مختلف settings کے ساتھ چلے۔ ConfigMaps **غیر حساس** config رکھتے ہیں؛ Secrets **حساس** ڈیٹا (passwords، tokens، keys) رکھتے ہیں اور انہیں زیادہ احتیاط سے سنبھالا جاتا ہے۔

## خیال: config کو image سے باہر رکھنا

```text
Image = code (immutable, built once).  Config = per-environment values.
Baking config into the image is an anti-pattern (rebuild per env, secrets leak).
→ Store config in ConfigMaps/Secrets, inject at runtime as env vars or files.
```

## ConfigMap: غیر حساس settings

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: حساس قدریں

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # یہاں سادہ متن؛ etcd میں base64-encoded محفوظ ہوتا ہے
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# عام طور پر imperative طریقے سے بنایا جاتا ہے تاکہ secrets git میں commit نہ ہوں:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## ایک Pod میں داخل کرنا: env vars کے طور پر یا files کے طور پر

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # ConfigMap سے ایک ہی key
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # Secret سے ایک ہی key
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # تمام keys کو env vars کے طور پر لائیں
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # config کو files کے طور پر mount کریں
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Secrets کے بارے میں اہم تنبیہات

```text
⚠ Secret data is base64-ENCODED, not encrypted, by default.
  → Enable ENCRYPTION AT REST for etcd (EncryptionConfiguration).
  → Restrict access with RBAC (who can 'get secrets').
  → Prefer external managers (Vault, cloud Secrets Manager) or sealed secrets.
  → Never commit real Secret manifests to git.
Env-var config is read ONCE at container start; mounted files can update live.
```

## یہ کیوں اہم ہے

configuration کو code سے الگ کرنا ایک مرکزی آپریشنل عمل ہے، اور ConfigMaps اور Secrets وہ طریقہ ہیں جس سے Kubernetes اسے نافذ کرتا ہے، اس لیے انہیں سمجھنا ایک ضروری middle-سطح کا علم ہے۔ ماحول کے لحاظ سے مخصوص settings کو ایک image میں پکانا ایک anti-pattern ہے — یہ فی ماحول ایک rebuild پر مجبور کرتا ہے اور secrets کے رِسنے کا خطرہ رکھتا ہے — اس لیے Kubernetes آپ کو ایک واحد immutable image رکھنے اور runtime پر configuration داخل کرنے دیتا ہے: غیر حساس قدروں (log levels، feature flags، config files) کے لیے **ConfigMaps** اور حساس ڈیٹا (passwords، tokens، keys) کے لیے **Secrets**۔ انہیں استعمال کرنے کے دو طریقوں کو جاننا — **environment variables** کے طور پر (`configMapKeyRef`/`secretKeyRef` کے ذریعے انفرادی keys، یا `envFrom` کے ذریعے تمام keys) اور **mounted files** کے طور پر (اس باریکی کے ساتھ کہ env vars شروع میں ایک بار پڑھے جاتے ہیں جبکہ mounted files براہِ راست اپ ڈیٹ ہو سکتی ہیں) — حقیقی ایپلی کیشنز deploy کرنے کے لیے روزمرہ کا عملی علم ہے۔ اتنا ہی اہم اُن security تنبیہات کو سمجھنا ہے جو بہت سے انجینئرز کو گراتی ہیں: Secret data بطورِ default صرف **base64-encoded ہوتا ہے، encrypted نہیں**، اس لیے اسے حقیقتاً محفوظ کرنے کے لیے etcd کے لیے **encryption at rest** فعال کرنا، **RBAC** سے رسائی محدود کرنا، Secret manifests کو version control میں commit کرنے سے گریز کرنا، اور اکثر کسی بیرونی secret manager کو مربوط کرنا درکار ہوتا ہے۔ چونکہ عملاً ہر workload کو فی-ماحول configuration اور credentials چاہیے ہوتے ہیں، اور چونکہ Secrets کو غلط طریقے سے سنبھالنا ایک عام اور سنگین security خلا ہے، ConfigMaps اور Secrets کی مضبوط سمجھ Kubernetes پر ایپلی کیشنز کو محفوظ اور درست طریقے سے چلانے کے لیے بنیادی ہے۔

خیال: config کو image سے باہر رکھنا

ConfigMap: غیر حساس settings

Secret: حساس قدریں

ایک Pod میں داخل کرنا: env vars کے طور پر یا files کے طور پر

Secrets کے بارے میں اہم تنبیہات

یہ کیوں اہم ہے

متعلقہ سوالات