2. 云原生配置管理基础：ConfigMap 与 Secret 的设计哲学
2.1 配置与镜像的分离原则
在云原生架构中，不可变基础设施（Immutable Infrastructure）要求容器镜像一经构建便不再修改。应用配置（数据库地址、证书、环境变量）若被打包进镜像，将导致每次配置变更都需要重新构建镜像，违背不可变原则。Kubernetes 通过 ConfigMap 和 Secret 将配置从镜像中剥离，实现“配置与代码分离”。
核心设计哲学： 镜像只包含二进制与依赖，配置在运行时通过卷挂载或环境变量注入。这一模式使得同一镜像可在开发、测试、生产环境复用，仅需替换 ConfigMap/Secret 即可完成环境切换。
2.2 ConfigMap 与 Secret 的差异对比
| 维度 | ConfigMap | Secret |
|---|---|---|
| 数据格式 | 明文键值对、文本文件 | Base64 编码（存储时），etcd 可加密 |
| 典型用途 | 应用配置文件、环境变量、命令行参数 | 密码、API 、TLS 证书、SSH 密钥 |
| 大小限制 | 1 MiB（etcd 对象限制） | 1 MiB（etcd 对象限制） |
| 更新策略 | 挂载为卷时自动同步（有延迟） | 挂载为卷时自动同步（有延迟） |
| 安全等级 | 低（明文可见） | 高（支持加密、RBAC 细粒度控制） |
| 滚动更新触发 | 默认不触发 Pod 重启 | 默认不触发 Pod 重启 |
生产建议： 即使 Secret 做了 Base64 编码，也并非真正的加密。在生产环境中务必启用 etcd 加密（
--encryption-provider-config）并配合外部密钥管理服务（如 AWS KMS、HashiCorp Vault）。
2.3 不可变基础设施下的配置注入方式
Kubernetes 提供两种主要的配置注入方式，每种方式对应不同的使用场景：
- 环境变量注入：适用于简单键值对，Pod 启动后不可变，更新 ConfigMap 后需重建 Pod 才能生效。
- 卷挂载注入：适用于配置文件或大量键值对，更新 ConfigMap 后文件自动同步（默认
--sync-period=60s），但应用需自行监听文件变化。
# 环境变量注入示例
apiVersion: v1
kind: Pod
metadata:
name: config-env-demo
spec:
containers:
- name: app
image: myapp:1.0
envFrom:
- configMapRef:
name: app-config
- secretRef:
name: db-secret
# 卷挂载注入示例
apiVersion: v1
kind: Pod
metadata:
name: config-volume-demo
spec:
containers:
- name: app
image: myapp:1.0
volumeMounts:
- name: config-volume
mountPath: /etc/config
readOnly: true
volumes:
- name: config-volume
configMap:
name: app-config
2.4 配置管理架构图
下图展示了 ConfigMap/Secret 在不可变基础设施中的核心位置，以及配置从创建到注入 Pod 的完整链路：
2.5 配置变更与回滚的挑战
在生产窗口内进行配置变更时，必须考虑以下风险点：
- 配置漂移：手动修改 ConfigMap 后未同步至版本控制系统，导致环境不可复现。
- 热加载陷阱：应用未实现文件变化监听，卷挂载更新后仍使用旧配置。
- 回滚原子性：多个微服务共享同一 ConfigMap 时，部分回滚可能导致配置不一致。
- 敏感信息泄露：Secret 在 etcd 中未加密，或日志中打印了 Secret 内容。
SOPS 回滚场景预演： 当镜像拉取加速配置（如
mirror-registry 地址）通过 ConfigMap 注入时，若生产窗口内发现加速配置错误导致拉取失败，必须快速回滚 ConfigMap 至上一版本。此时需要依赖 kubectl rollout undo 或 GitOps 工具（ArgoCD/Flux）的自动回退能力。
2.6 最佳实践清单
| 实践项 | 说明 | 优先级 |
|---|---|---|
| 版本控制 | 所有 ConfigMap/Secret 的 YAML 文件纳入 Git 仓库，禁止直接编辑线上对象 | P0 |
| 不可变标签 | 为 ConfigMap 添加 app.kubernetes.io/version 标签，便于追踪版本 |
P1 |
| 最小权限 | Secret 的 RBAC 权限仅授予需要的 ServiceAccount | P0 |
| 加密存储 | 启用 etcd 加密，并考虑使用 SealedSecret 或 External Secrets Operator | P0 |
| 配置校验 | 使用 Admission Webhook 或 kubectl diff 在应用前校验配置格式 |
P1 |
| 回滚测试 | 定期演练 ConfigMap 回滚流程，确保 kubectl rollout undo 在 30 秒内完成 |
P2 |