2. Kubernetes Secrets 基础：Secret 资源类型、创建方式、存储机制

Kubernetes Secret 是集群内存储敏感数据的原生资源对象，专为密码、API 令牌、SSH 密钥、TLS 证书等场景设计。与 ConfigMap 不同，Secret 在数据编码、访问控制和存储机制上均采用更严格的安全策略。理解 Secret 的基础模型是构建自动化轮换准入策略的前提。

2.1 Secret 资源类型与数据结构

Secret 的核心数据结构包含 data 和 stringData 两个字段，前者要求 value 经过 Base64 编码，后者允许明文写入并在 API 层自动编码。Secret 的 type 字段决定了其语义和校验规则。

2.2 Secret 创建方式

Kubernetes 提供四种创建 Secret 的途径，每种方式在自动化轮换场景中的适用性不同：

1. kubectl 命令式创建：kubectl create secret generic 或 kubectl create secret tls，适合手动操作和快速验证。
2. YAML 声明式创建：通过 kubectl apply -f 提交 Secret 清单，适合 GitOps 工作流。
3. Kubernetes API 直接创建：通过 REST API POST 到 /api/v1/namespaces/{ns}/secrets，适合控制器和自动化工具。
4. 控制器/Operator 自动创建：如 cert-manager 自动生成 TLS Secret，TokenRequest API 自动生成 ServiceAccount 令牌。

# 示例：kubectl 创建 Opaque Secret
kubectl create secret generic db-credentials \
  --from-literal=username=admin \
  --from-literal=password='S3cur3P@ss' \
  --namespace production

# 示例：YAML 声明式创建 TLS Secret
apiVersion: v1
kind: Secret
metadata:
  name: web-tls
  namespace: production
type: kubernetes.io/tls
data:
  tls.crt: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0t...
  tls.key: LS0tLS1CRUdJTiBSU0EgUFJJVkFURSBLRVktLS0tLQ==

2.3 Secret 存储机制与 etcd 加密

Secret 在 Kubernetes 中的存储路径为 /registry/secrets/{namespace}/{name}，底层存储引擎为 etcd。默认情况下，Secret 数据以 Base64 编码形式存储在 etcd 中，这意味着任何能够访问 etcd 数据的人都可以解码并读取敏感信息。

etcd 加密是保护 Secret 静态存储安全的关键机制。Kubernetes 支持三种加密配置方式：

2.4 Secret 的存储大小限制与性能考量

Secret 数据存储在 etcd 中，而 etcd 对单个键值对的大小有限制。Kubernetes 官方建议单个 Secret 的 最大数据量为 1 MB（包括 metadata 和 data 字段）。超过此限制会导致 API Server 拒绝请求。

在自动化轮换场景中，需要关注以下性能指标：

• API Server 吞吐量：大规模集群中频繁轮换大量 Secret 可能对 API Server 造成压力，建议使用 --max-requests-inflight 和 --max-mutating-requests-inflight 参数进行限流。
• etcd 写入延迟：每次 Secret 更新都会触发 etcd 写入，轮换频率过高可能导致 etcd 集群写入放大。
• 控制器冲突：多个控制器同时轮换同一 Secret 可能引发更新冲突，需使用 resourceVersion 乐观锁机制。

# 查看 Secret 大小（单位：字节）
kubectl get secret my-secret -n my-namespace -o json | jq '.data | map_values(length)'

# 示例输出
{
  "password": 24,
  "username": 8
}

2.5 Secret 与 Pod 的绑定机制

Secret 被 Pod 使用时，通过以下两种方式绑定：

• 环境变量注入：Pod 启动时将 Secret 键值对注入为环境变量。这种方式在 Secret 更新后，Pod 需要重启才能获取新值。
• Volume 挂载：将 Secret 挂载为 tmpfs 卷，每个键对应一个文件。Kubelet 会定期（默认 60 秒）同步 Secret 更新到挂载点，但 Pod 内运行的进程需要自行检测文件变化。