Kubernetes pod 机密 /var/run/secrets 丢失

Question

特尔；博士：

通过 terraform 创建的 Kubernetes pod 没有/var/run/secrets文件夹，但根据hello-minikube教程创建的 pod 有-为什么会这样，我该如何解决？

动机：我需要 traefik 才能与 k8s 集群通信。

细节

我已经设置了一个带有 minikube 的本地 Kubernetes 集群，并设置了 terraform 以使用该集群。

要设置traefik，你需要创建一个Ingress和Deployment它们尚未被terraform支持。根据该问题中发布的解决方法，我使用一个更简单的模块通过 terraform 执行 yaml 文件：

# A tf-module that can create Kubernetes resources from YAML file descriptions.
variable "name" {}
variable "file_name" { }
resource "null_resource" "kubernetes_resource" {
  triggers {
    configuration = "${var.file_name}"
  }
  provisioner "local-exec" {
    command = "kubectl apply -f ${var.file_name}"
  }
}

以这种方式创建的资源在 k8s 仪表板中正确显示。

但是，入口控制器的 pod 日志：

time="2017-12-30T13:49:10Z" 
level=error 
msg="Error starting provider *kubernetes.Provider: failed to create in-cluster
    configuration: open /var/run/secrets/kubernetes.io/serviceaccount/token:
    no such file or directory" 

（为了可读性添加了换行符）

/bin/bash进入 pod 后，我意识到它们都没有路径/var/run/secrets，除了minikube 教程中的hello-minikubepod，它只用两个kubectl命令创建：

$ kubectl run hello-minikube --image=k8s.gcr.io/echoserver:1.4 --port=8080
$ kubectl expose deployment hello-minikube --type=NodePort

与 terraform 问题中的脚本相比，我删除了kubectlparams --certificate-authority=${var.cluster_ca_certificate}，但话又说回来，我在设置时也没有提供这个hello-minikube，并且原始脚本不能按原样工作，因为我不知道如何从~/.kube/configterraform访问提供者详细信息。

我试图找出是否hello-minikube正在做一些奇特的事情，但我找不到它的源代码。

我是否必须做一些特定的事情才能使令牌可用？根据traefic 问题 611，InCluster配置应该是自动化的，但就目前而言，我被卡住了。

版本

主机系统是一台Windows 10机器

> minikube version
minikube version: v0.24.1

> kubectl version
Client Version: version.Info{Major:"1", Minor:"9", GitVersion:"v1.9.0", GitCommit:"925c127ec6b946659ad0fd596fa959be43f0cc05", GitTreeState:"clean", BuildDate:"2017-12-15T21:07:38Z", GoVersion:"go1.9.2", Compiler:"gc", Platform:"windows/amd64"}
Server Version: version.Info{Major:"1", Minor:"8", GitVersion:"v1.8.0", GitCommit:"0b9efaeb34a2fc51ff8e4d34ad9bc6375459c4a4", GitTreeState:"clean", BuildDate:"2017-11-29T22:43:34Z", GoVersion:"go1.9.1", Compiler:"gc", Platform:"linux/amd64"}

有关的

有一些相关的问题和github问题，但他们也没有帮助我解决问题。

• 如何从 pod 容器中访问 Kubernetes api？

• 为什么 /var/run/secrets/kubernetes.io/serviceaccount/token 是 Pod 中的空文件？

• https://github.com/datawire/telepresence/issues/353

• https://github.com/openshift/origin/issues/13865

Answer 1

最重要的是，感谢您写出一个惊人的问题；我会用这个问题作为其他人应该如何提问的模板！

你能检查一下中的automountServiceAccountToken字段PodSpec，看看是true不是？

我知道的唯一其他建设性问题是它是否serviceAccountName指向现有的 SA；我希望一个虚假的人会轰炸部署，但不确定在这种情况下会发生什么