4、ConfigMap 挂载到 Pod：环境变量方式挂载、卷挂载方式、子路径挂载、挂载权限控制

ConfigMap 创建完成后，需要通过挂载机制将配置数据注入到 Pod 中。Kubernetes 提供了两种核心挂载方式：环境变量挂载和卷挂载，以及卷挂载下的子路径挂载和权限控制。不同的挂载方式决定了配置的生效时机、更新策略和访问形式，是 ConfigMap 深度优化的关键环节。

4.1 环境变量方式挂载

环境变量挂载将 ConfigMap 中的键值对直接映射为 Pod 容器的环境变量。这种方式配置简单、生效快，但存在两个重要限制：不支持动态更新（Pod 重启前环境变量不会变化）和键名必须符合环境变量命名规范（仅支持字母、数字、下划线，不能以数字开头）。

4.1.1 挂载整个 ConfigMap 为环境变量

apiVersion: v1
kind: Pod
metadata:
  name: configmap-env-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    envFrom:
    - configMapRef:
        name: app-config
  restartPolicy: Never

4.1.2 挂载指定键为环境变量

apiVersion: v1
kind: Pod
metadata:
  name: configmap-env-select-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    env:
    - name: DB_HOST
      valueFrom:
        configMapKeyRef:
          name: app-config
          key: database.host
    - name: DB_PORT
      valueFrom:
        configMapKeyRef:
          name: app-config
          key: database.port
  restartPolicy: Never

4.2 卷挂载方式

卷挂载将 ConfigMap 挂载为 Pod 中的一个卷（Volume），容器通过文件系统读取配置。这种方式支持动态更新（kubelet 定期同步 ConfigMap 内容到卷文件）、大容量配置（不受环境变量大小限制）和文件级操作（权限、子路径、只读等）。

4.2.1 基本卷挂载

apiVersion: v1
kind: Pod
metadata:
  name: configmap-volume-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    volumeMounts:
    - name: config-volume
      mountPath: /etc/config
  volumes:
  - name: config-volume
    configMap:
      name: app-config
  restartPolicy: Never

挂载后，ConfigMap 中的每个 key 都会在 /etc/config/ 目录下生成一个文件，文件名即 key 名，文件内容即 value。例如 key app.properties 会生成文件 /etc/config/app.properties。

4.2.2 卷挂载 vs 环境变量挂载对比

4.3 子路径挂载

子路径挂载（subPath）允许将 ConfigMap 中的单个 key 挂载到卷内的指定子路径，而不是挂载整个 ConfigMap 目录。这在需要将配置注入到已有目录结构、或避免覆盖容器原有文件时非常有用。

4.3.1 子路径挂载示例

apiVersion: v1
kind: Pod
metadata:
  name: configmap-subpath-pod
spec:
  containers:
  - name: app
    image: nginx:1.25
    volumeMounts:
    - name: config-volume
      mountPath: /etc/nginx/nginx.conf
      subPath: nginx.conf
  volumes:
  - name: config-volume
    configMap:
      name: nginx-config
      items:
      - key: nginx.conf
        path: nginx.conf
  restartPolicy: Never

4.3.2 items 字段与路径映射

在卷定义中使用 items 字段可以精确控制哪些 key 被挂载，以及挂载后的文件名：

volumes:
- name: config-volume
  configMap:
    name: app-config
    items:
    - key: database.properties
      path: db/database.properties
    - key: logging.properties
      path: logging/log4j.properties

上述配置只挂载 database.properties 和 logging.properties 两个 key，分别映射到 db/database.properties 和 logging/log4j.properties 路径。

4.4 挂载权限控制

ConfigMap 卷挂载支持通过 defaultMode 字段设置挂载文件的文件权限。该字段使用八进制权限表示法，控制文件在容器内的可读、可写、可执行权限。

4.4.1 defaultMode 使用示例

volumes:
- name: config-volume
  configMap:
    name: app-config
    defaultMode: 0400

0400 表示文件所有者拥有只读权限，其他用户无任何权限。常见权限模式：

4.4.2 权限控制最佳实践

• 最小权限原则：非敏感配置使用 0444，敏感配置使用 0400，避免使用 0777 等宽松权限。
• 只读挂载：在 volumeMounts 中设置 readOnly: true，防止容器意外修改配置。
• 结合 SecurityContext：使用 runAsUser 和 fsGroup 控制容器用户对配置文件的访问。

volumeMounts:
- name: config-volume
  mountPath: /etc/config
  readOnly: true

4.5 挂载方式选择决策树

在实际项目中，根据配置特征选择挂载方式：

1. 配置量小（< 10 个键）且不需要动态更新？ → 环境变量挂载（简单高效）
2. 配置量大或需要动态更新？ → 卷挂载（支持热更新）
3. 需要将配置注入到已有目录？ → 子路径挂载（注意：失去动态更新能力）
4. 配置包含敏感信息？ → 使用 Secret + defaultMode: 0400 + readOnly: true
5. 配置需要被多个容器共享？ → 卷挂载（共享同一个 Volume）

4.6 挂载实践避坑清单