kubectl：从明文中的秘密中获取特定值

Question

我想在 shell 脚本中获取机密的特定字段的值。

从kubectl get secret文档来看，获取秘密的标准方法似乎以指定的格式返回整个事物，并使用 base64 编码的值。

所以，为了获得秘密的bar字段foo，输出为未编码的字符串，我这样做：

kubectl get secret foo -o json | jq -r ".data.bar" | base64 --decode

那是

有没有办法只使用kubectl？

或者 POSIX 兼容 shell 中的一种优雅方式，它不依赖于任何依赖项，例如jq?

Answer 1

尝试这个

kubectl get secret foo --template={{.data.bar}} | base64 --decode

不需要jq。

Answer 2

如果键包含点：

apiVersion: v1
metadata:
  name: foo
data:
  bar.baz: RnVja2VkIFVwIEJleW9uZCBBbGwgUmVjb2duaXRpb24=

语法是：

kubectl get secret foo -o jsonpath="{.data['bar\.baz']}" | base64 -d

Answer 3

kubectl get secret foo -o jsonpath={.data.bar} | base64 --decode

Answer 4

您可以尝试以下命令，它将解码密钥中的所有值。

kubectl get secret <secret-name> -o json | jq '.data | map_values(@base64d)'

Answer 5

从 Kubernetes 1.11 开始，这应该有效（请参阅PR 60755）：

kubectl get secret foo -o go-template='{{ .data.bar | base64decode }}'

Answer 6

对于连字符键，以下是直接从获取解码值的转义技巧kubectl：

kubectl get secret foo -o go-template='{{ index .data \"bar-baz\" | base64decode }}'

（使用 kubectl 1.21.5 测试）