Openshift/kubernetes：将服务帐户机密映射到环境变量

Question

有没有办法将 serviceaccount 机密内容填充到环境变量中？

示例：当 pod 启动时，它包含一个/var/run/secrets/kubernetes.io/secrets/serviceaccount/文件夹，其中包含token, ... 和其他，这是将sercret 映射到文件夹的ca.crt结果。serviceaccount

无论如何可以映射serviceaccountsecret.token到环境变量吗？

编辑

我正在使用 Fabric8 maven 插件部署 kubernetes/openshift 对象。尽管如此，我一直在寻找一种在 PodSpec 上设置此信息的方法。

因此，当前 openshift/kubernetes 正在将位于机密中的服务帐户信息映射，然后自动映射到文件系统（`/var/run...）。

我正在寻找一种方法将这个“未知”服务帐户秘密映射到环境变量（我的意思是，当我创建 PodSpec 时，我不知道这个秘密的名称是什么）。

$ oc get secrets
NAME                       TYPE                                  DATA      AGE
builder-dockercfg-hplx4    kubernetes.io/dockercfg               1         43m
builder-token-bkd8h        kubernetes.io/service-account-token   4         43m
builder-token-gpckp        kubernetes.io/service-account-token   4         43m
default-dockercfg-q2vpx    kubernetes.io/dockercfg               1         43m
default-token-hpr7l        kubernetes.io/service-account-token   4         43m
default-token-r5225        kubernetes.io/service-account-token   4         43m
deployer-dockercfg-6h7nw   kubernetes.io/dockercfg               1         43m
deployer-token-svmvf       kubernetes.io/service-account-token   4         43m
deployer-token-tmg9x       kubernetes.io/service-account-token   4         43m
vault-cert                 kubernetes.io/tls                     2         42m 

如您所见，openshiftshift/kubernetes 创建与每个服务帐户相关的机密：

$ oc get sa
NAME       SECRETS   AGE
builder    2         44m
default    2         44m
deployer   2         44m

每个秘密的形式如下：

$ oc describe secret default-token-hpr7l
Name:         default-token-hpr7l
Namespace:    ra-sec
Labels:       <none>
Annotations:  kubernetes.io/created-by=openshift.io/create-dockercfg-secrets
              kubernetes.io/service-account.name=default
              kubernetes.io/service-account.uid=82ae89d7-898a-11e8-8d35-f28ae3e0478e

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:          1070 bytes
namespace:       6 bytes
service-ca.crt:  2186 bytes
token:           eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJyYS1zZWMiLCJrdWJlcm5ldGVzLmlvL3Nl...

每个秘密都会自动映射到文件系统。尽管如此，我想在 PodSpec 中写入：

env:
- name: KUBERNETES_TOKEN
  valueFrom:
    secretKeyRef:
      name: <unknown service account secret name>
      key: token

我希望我已经解释得更好了。

Answer 1

您可以创建一个带有kubernetes.io/service-account.name注释的秘密。

此注释提供与当前密钥相关的服务帐户信息。

apiVersion: v1
kind: Secret
metadata:
  name: vault-auth-secret
  annotations:
    kubernetes.io/service-account.name: vault-auth
type: kubernetes.io/service-account-token

通过这种方式，您可以使用所需的数据创建一个命名秘密。

- name: KUBERNETES_TOKEN
  valueFrom:
    secretKeyRef:
      name: vault-auth-secret
      key: token