K8S中若要挂载其他命名空间中的 Secret

最新推荐文章于 2025-04-02 00:03:16 发布

网络飞鸥

最新推荐文章于 2025-04-02 00:03:16 发布

阅读量487

点赞数 10

CC 4.0 BY-SA版权

分类专栏： Kubernetes 文章标签： kubernetes 容器云原生

本文链接：https://blog.csdn.net/erhaiou2008/article/details/146391296

Kubernetes 专栏收录该内容

82 篇文章

订阅专栏

在Kubernetes（k8s）里，若要挂载其他命名空间中的Secret，你可以通过创建一个 Secret 的 ServiceAccount 和 RoleBinding 来实现对其他命名空间 Secret 的访问，接着在 Pod 中挂载这个 Secret。下面是详细的步骤和示例代码：

步骤

创建 ServiceAccount：在要挂载 Secret 的命名空间里创建一个 ServiceAccount。
创建 Role 与 RoleBinding：在包含 Secret 的命名空间创建一个 Role 以及 RoleBinding，以此赋予 ServiceAccount 访问 Secret 的权限。
在 Pod 中使用 ServiceAccount 并挂载 Secret：在 Pod 定义里运用 ServiceAccount，并且挂载 Secret。

示例代码

下面是一系列的 YAML 文件，用来实现上述步骤。

1. 创建 `ServiceAccount`

在要挂载 Secret 的命名空间（假设为 target-namespace）创建 ServiceAccount：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: secret-reader
  namespace: target-namespace

2. 创建 `Role` 和 `RoleBinding`

在包含 Secret 的命名空间（假设为 source-namespace）创建 Role 和 RoleBinding：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: secret-reader-role
  namespace: source-namespace
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "watch", "list"]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: secret-reader-rolebinding
  namespace: source-namespace
subjects:
- kind: ServiceAccount
  name: secret-reader
  namespace: target-namespace
roleRef:
  kind: Role
  name: secret-reader-role
  apiGroup: rbac.authorization.k8s.io

3. 在 `Pod` 中使用 `ServiceAccount` 并挂载 `Secret`

在 target-namespace 里创建一个 Pod，使用 ServiceAccount 并挂载 Secret：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
  namespace: target-namespace
spec:
  serviceAccountName: secret-reader
  containers:
  - name: my-container
    image: nginx
    volumeMounts:
    - name: secret-volume
      mountPath: "/etc/secret"
      readOnly: true
  volumes:
  - name: secret-volume
    secret:
      secretName: my-secret
      namespace: source-namespace

解释

ServiceAccount：在 target-namespace 创建的 secret-reader ServiceAccount 用于给 Pod 授予访问权限。
Role 和 RoleBinding：在 source-namespace 创建的 Role 和 RoleBinding 赋予 secret-reader ServiceAccount 访问 Secret 的权限。
Pod：在 target-namespace 创建的 Pod 使用 secret-reader ServiceAccount，并且挂载 source-namespace 中的 my-secret Secret。

操作步骤

把上述 YAML 文件保存为不同的文件，例如 serviceaccount.yaml、role.yaml 和 pod.yaml。
依次执行以下命令：

kubectl apply -f serviceaccount.yaml
kubectl apply -f role.yaml
kubectl apply -f pod.yaml

这样，Pod 就能成功挂载其他命名空间中的 Secret 了。

K8S中若要挂载其他命名空间中的 Secret

步骤

示例代码

1. 创建 ServiceAccount

2. 创建 Role 和 RoleBinding

3. 在 Pod 中使用 ServiceAccount 并挂载 Secret

解释

操作步骤

1. 创建 `ServiceAccount`

2. 创建 `Role` 和 `RoleBinding`

3. 在 `Pod` 中使用 `ServiceAccount` 并挂载 `Secret`