Kubernetes

Question

在我的 helm chart 上，我有一个 pre-install 挂钩的工作，我需要使用我的秘密中的属性。但是，当我尝试安装 helm chart 时，我的 pre-install 作业出现以下错误：

Error: secret "SecretsFileName" not found

在 pods 执行之前未创建机密？这里有什么问题？我该如何解决这个问题？

备注：

我想使用机密来加密属性。我不想直接在我的 pod 上使用解密后的值；
我已经阅读了但我仍然不明白这个错误的原因；
我已经尝试在密文上使用 "helm.sh/hook": pre-install,post-delete 和 "helm.sh/hook-weight": "1"，在我的 pod 上使用 "helm.sh/hook-weight": "2"，但问题仍然存在。

我的预安装作业：

apiVersion: batch/v1
kind: Job
metadata:
  name: "MyPodName"
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-delete-policy": before-hook-creation,hook-succeeded
  #some more code
spec:
  template:
    #some more code
    spec:
      dnsPolicy: {{ .Values.specPolicy.dnsPolicy }}
      restartPolicy: {{ .Values.specPolicy.restartPolicy }}
      volumes:
        - name: {{ .Values.volume.name }}
          persistentVolumeClaim:
            claimName: {{ .Values.volume.claimName }}
      securityContext:
        {{- toYaml .Values.securityContext | nindent 8 }}
      containers:
        - name: "MyContainerName"
          #some more code
          env:
            - name: SECRET_TO_USE
              valueFrom:
                secretKeyRef:
                  name: SecretsFileName
                  key: PROP_FROM_SCRETS
          #some more code

我的秘密文件：

apiVersion: v1
kind: Secret
metadata:
  name: "SecretsFileName"
  labels:
    app: "MyAppName"
    #some more code
type: Opaque
data:
    PROP_FROM_SCRETS: eHB0bw==

Answer 1

根据 docs:

pre-install: Executes after templates are rendered, but before any resources are created in Kubernetes

Answer 2

虽然 Helm hooks 通常是作业，但并不要求它们是作业，而且 Helm 不会对挂钩对象的内容进行任何分析以查看它可能依赖的其他内容。如果您通读那里描述的安装顺序，它是 (7) 安装标记为钩子的东西，(8) 等待它们准备就绪，然后 (9) 安装其他所有东西；它会等待 Job 完成，然后再安装它所依赖的 Secret。

那么，第一个答案是，您还需要将您的 Secret 标记为钩子，以便在预安装阶段安装它，并修改权重，以便它在主作业之前安装（较小体重数字更快出现）：

apiVersion: v1
kind: Secret
annotations:
  "helm.sh/hook": pre-install
  "helm.sh/hook-weight": "-5"

下一个问题是这个 Secret 什么时候被删除。文档 notes that helm uninstall won't delete hook resources; you need to add a separate helm.sh/hook-delete-policy annotation，否则它会一直存在，直到下一次 hook 被安排为运行。这对我来说是在说，如果您修改 Secret（或构成它的值）并升级（而不是删除和重新安装）图表，Secret 将不会更新。

我可能只创建两个 Secret 副本，一个在预安装时有用，另一个在主要图表生命周期中有用。您可以创建一个模板来呈现 Secret 主体，然后调用它两次：

{{- define "secret.content" -}}
type: Opaque
data:
    PROP_FROM_SCRETS: eHB0bw==
{{- end -}}
---
apiVersion: v1
kind: Secret
metadata:
  name: "SecretsFileName"
  labels:
    app: "MyAppName"
{{ include "secret.content" . }}
---
apiVersion: v1
kind: Secret
metadata:
  name: "SecretsFileName-preinst"
  labels:
    app: "MyAppName"
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-weight": "-5"
    "helm.sh/hook-delete-policy": hook-succeeded
{{ include "secret.content" . }}

Kubernetes - 在预安装作业中使用秘密

Kubernetes - Use secrets on pre-install job

kubernetes-helm

kubernetes-secrets