4. ConfigMap 挂载到 Pod：环境变量方式挂载、卷挂载方式、子路径挂载、只读挂载

ConfigMap 创建完成后，需要通过 Pod 挂载才能被容器内的应用使用。Kubernetes 提供了多种挂载方式，每种方式适用于不同的场景。本章将详细讲解四种核心挂载模式：环境变量挂载、卷挂载、子路径挂载和只读挂载，并通过对比表格和架构图帮助理解其差异。

4.1 环境变量方式挂载

环境变量挂载是最简单、最直接的配置注入方式。ConfigMap 中的每个键值对会被直接映射为 Pod 容器内的环境变量。这种方式适合传递少量、非结构化的配置项，如服务端口、日志级别、数据库连接字符串等。

4.1.1 使用 configMapKeyRef 挂载单个键

apiVersion: v1
kind: Pod
metadata:
  name: env-single-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    env:
    - name: NGINX_PORT
      valueFrom:
        configMapKeyRef:
          name: app-config          # ConfigMap 名称
          key: server.port          # 要引用的键
          optional: false           # 如果 ConfigMap 不存在，Pod 启动失败

4.1.2 使用 envFrom 挂载所有键

apiVersion: v1
kind: Pod
metadata:
  name: env-all-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    envFrom:
    - configMapRef:
        name: app-config            # 将 ConfigMap 所有键值对注入为环境变量
      prefix: CFG_                  # 可选：为所有变量添加前缀

4.2 卷挂载方式

卷挂载将 ConfigMap 整体挂载到 Pod 文件系统的某个目录下。ConfigMap 中的每个键会生成一个文件，文件名即为键名，文件内容即为键值。这种方式适合传递配置文件（如 application.yml、nginx.conf），并且支持配置的热更新。

apiVersion: v1
kind: Pod
metadata:
  name: volume-mount-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config          # 挂载到容器内的目录
  volumes:
  - name: config-volume
    configMap:
      name: app-config                # 要挂载的 ConfigMap 名称
      defaultMode: 0644               # 文件权限（可选）

挂载后，容器内 /etc/config/ 目录下会生成如下文件结构：

/etc/config/
├── server.port          # 文件内容为 "8080"
├── log.level            # 文件内容为 "debug"
├── app.name             # 文件内容为 "my-app"
└── database.url         # 文件内容为 "jdbc:mysql://..."

4.3 子路径挂载

子路径挂载允许将 ConfigMap 中的单个键挂载到容器内的指定文件路径，而不是整个目录。这在需要将配置挂载到已有目录（如 /etc/nginx/nginx.conf）且不覆盖目录下其他文件时非常有用。

apiVersion: v1
kind: Pod
metadata:
  name: subpath-mount-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    volumeMounts:
    - name: config-volume
      mountPath: /etc/nginx/nginx.conf    # 挂载为具体文件
      subPath: nginx.conf                 # 只挂载 ConfigMap 中的这个键
  volumes:
  - name: config-volume
    configMap:
      name: nginx-config
      items:
      - key: nginx.conf
        path: nginx.conf

4.4 只读挂载

只读挂载确保容器内无法修改挂载的 ConfigMap 数据，这是 Kubernetes 推荐的默认安全实践。ConfigMap 作为配置数据源，其内容应由集群管理员通过 API 或 kubectl 管理，容器内应用只应读取，不应写入。

apiVersion: v1
kind: Pod
metadata:
  name: readonly-mount-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config
      readOnly: true                    # 设置为只读
  volumes:
  - name: config-volume
    configMap:
      name: app-config

4.5 四种挂载方式对比总览

4.6 ConfigMap 挂载架构图

下图展示了 ConfigMap 通过四种方式挂载到 Pod 的完整数据流路径：

4.7 挂载方式选择决策树

在实际项目中，可以根据以下决策流程快速选择最合适的挂载方式：

1. 是否需要热更新配置？
   • 是 → 使用卷挂载（目录方式）
   • 否 → 继续判断
2. 配置项数量是否较少（≤10 个）？
   • 是 → 使用环境变量挂载
   • 否 → 继续判断
3. 是否需要挂载到系统已有目录下的特定文件？
   • 是 → 使用子路径挂载（注意不支持热更新）
   • 否 → 使用卷挂载（目录方式）
4. 生产环境安全要求？
   • 始终添加 readOnly: true 实现只读挂载