ConfigMap và Secret hoạt động thế nào để tiêm cấu hình vào workload?

Question

IT Interview Practice · Accepted Answer

**ConfigMap** và **Secret** tách cấu hình ra khỏi image container, nên cùng một image chạy được ở dev, staging và production với các thiết lập khác nhau. ConfigMap giữ cấu hình **không nhạy cảm**; Secret giữ dữ liệu **nhạy cảm** (mật khẩu, token, key) và được xử lý cẩn thận hơn.

## Ý tưởng: đưa config ra khỏi image

```text
Image = code (bất biến, build một lần).  Config = giá trị theo từng môi trường.
Nướng config vào image là một anti-pattern (build lại mỗi môi trường, lộ secret).
→ Lưu config trong ConfigMap/Secret, tiêm vào lúc runtime dưới dạng env var hoặc file.
```

## ConfigMap: thiết lập không nhạy cảm

```yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  FEATURE_X: "true"
  app.properties: |
    timeout=30
    retries=3
```

## Secret: giá trị nhạy cảm

```yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:            # ghi plaintext ở đây; lưu dạng base64 trong etcd
  DB_PASSWORD: "s3cr3t"
  DB_USER: "appuser"
```

```bash
# Thường tạo theo kiểu imperative để tránh commit secret vào git:
kubectl create secret generic db-secret \
  --from-literal=DB_USER=appuser --from-literal=DB_PASSWORD=s3cr3t
```

## Tiêm vào Pod: dưới dạng env var hoặc file

```yaml
spec:
  containers:
    - name: app
      image: myapp:1.0
      env:
        - name: LOG_LEVEL                 # một key từ ConfigMap
          valueFrom:
            configMapKeyRef: { name: app-config, key: LOG_LEVEL }
        - name: DB_PASSWORD               # một key từ Secret
          valueFrom:
            secretKeyRef: { name: db-secret, key: DB_PASSWORD }
      envFrom:
        - configMapRef: { name: app-config }   # nhập TẤT CẢ key thành env var
      volumeMounts:
        - name: config-vol
          mountPath: /etc/config           # mount config dưới dạng file
  volumes:
    - name: config-vol
      configMap: { name: app-config }
```

## Những lưu ý quan trọng về Secret

```text
⚠ Dữ liệu Secret mặc định được MÃ HÓA base64 (encode), KHÔNG phải mã hóa bảo mật.
  → Bật MÃ HÓA KHI LƯU (encryption at rest) cho etcd (EncryptionConfiguration).
  → Hạn chế truy cập bằng RBAC (ai được 'get secrets').
  → Ưu tiên trình quản lý bên ngoài (Vault, Secrets Manager của cloud) hoặc sealed secret.
  → Đừng bao giờ commit manifest Secret thật vào git.
Config kiểu env var đọc MỘT LẦN lúc container khởi động; file mount có thể cập nhật động.
```

## Tại sao điều này quan trọng

Tách cấu hình khỏi code là một thực hành vận hành cốt lõi, và ConfigMap cùng Secret là cách Kubernetes hiện thực hóa điều đó, nên hiểu chúng là kiến thức trung cấp thiết yếu. Nướng thiết lập theo môi trường vào image là một anti-pattern — nó buộc build lại cho mỗi môi trường và có nguy cơ lộ secret — nên Kubernetes cho phép bạn giữ một image bất biến duy nhất và tiêm cấu hình lúc runtime: **ConfigMap** cho giá trị không nhạy cảm (log level, feature flag, file cấu hình) và **Secret** cho dữ liệu nhạy cảm (mật khẩu, token, key). Biết hai cách tiêu thụ chúng — dưới dạng **biến môi trường** (từng key qua `configMapKeyRef`/`secretKeyRef`, hoặc tất cả key qua `envFrom`) và dưới dạng **file được mount** (với điểm tinh tế rằng env var đọc một lần lúc khởi động còn file mount có thể cập nhật động) — là kiến thức thực tiễn hằng ngày để triển khai ứng dụng thật. Quan trọng không kém là hiểu các lưu ý bảo mật khiến nhiều kỹ sư vấp: dữ liệu Secret mặc định chỉ được **encode base64, không mã hóa bảo mật**, nên để thật sự bảo vệ nó cần bật **mã hóa khi lưu** cho etcd, hạn chế truy cập bằng **RBAC**, tránh commit manifest Secret vào quản lý phiên bản, và thường tích hợp một trình quản lý secret bên ngoài. Vì gần như mọi workload đều cần cấu hình theo môi trường và thông tin đăng nhập, và vì xử lý sai Secret là một lỗ hổng bảo mật phổ biến và nghiêm trọng, nắm vững ConfigMap và Secret là điều nền tảng để chạy ứng dụng an toàn và đúng đắn trên Kubernetes.

Ý tưởng: đưa config ra khỏi image

ConfigMap: thiết lập không nhạy cảm

Secret: giá trị nhạy cảm

Tiêm vào Pod: dưới dạng env var hoặc file

Những lưu ý quan trọng về Secret

Tại sao điều này quan trọng

Câu hỏi liên quan