Kubernetes ConfigMap·Secret — 설정과 민감정보 관리 완전 가이드

# 키-값 직접
kubectl create configmap app-config \
  --from-literal=LOG_LEVEL=info \
  --from-literal=MAX_CONN=100

# 파일 통째로 (--from-file)
kubectl create configmap nginx-conf --from-file=./nginx.conf

# .env 형식 일괄 (--from-env-file)
kubectl create configmap app-env --from-env-file=./app.env

apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  LOG_LEVEL: "info"
  MAX_CONN: "100"
  # 파일 형태 설정도 통째로 넣을 수 있음
  application.yaml: |
    server:
      port: 8080
    feature:
      newUI: true

kubectl apply -f configmap.yaml
kubectl get cm app-config -o yaml

# 일반 비밀값
kubectl create secret generic db-secret \
  --from-literal=DB_USER=admin \
  --from-literal=DB_PASS='S3cr3t!23'

# TLS 인증서
kubectl create secret tls web-tls --cert=tls.crt --key=tls.key

# 프라이빗 레지스트리 인증
kubectl create secret docker-registry regcred \
  --docker-server=registry.example.com \
  --docker-username=ci --docker-password='token'

apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
stringData:           # 평문 입력 → 저장 시 자동 base64
  DB_USER: admin
  DB_PASS: "S3cr3t!23"

spec:
  containers:
  - name: app
    image: myapp:1.0
    env:
    - name: LOG_LEVEL
      valueFrom:
        configMapKeyRef:
          name: app-config
          key: LOG_LEVEL
    - name: DB_PASS
      valueFrom:
        secretKeyRef:
          name: db-secret
          key: DB_PASS

    envFrom:
    - configMapRef: { name: app-config }
    - secretRef: { name: db-secret }

spec:
  containers:
  - name: app
    image: myapp:1.0
    volumeMounts:
    - name: config-vol
      mountPath: /etc/app          # /etc/app/application.yaml 로 생성됨
      readOnly: true
    - name: secret-vol
      mountPath: /etc/secret
      readOnly: true
  volumes:
  - name: config-vol
    configMap:
      name: app-config
      items:                        # 특정 키만 선택 마운트
      - key: application.yaml
        path: application.yaml
  - name: secret-vol
    secret:
      secretName: db-secret
      defaultMode: 0400             # 권한 제한

spec:
  template:
    metadata:
      annotations:
        # 내용이 바뀌면 이 값을 갱신 → Pod 템플릿 변경 → 롤링 재시작
        checksum/config: "a1b2c3..."

kubectl rollout restart deployment/myapp

# /etc/kubernetes/encryption-config.yaml
apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
- resources: ["secrets"]
  providers:
  - aescbc:
      keys:
      - name: key1
        secret: <base64-32byte-key>
  - identity: {}

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: secret-reader
  namespace: prod
rules:
- apiGroups: [""]
  resources: ["secrets"]
  resourceNames: ["db-secret"]   # 특정 Secret만
  verbs: ["get"]

# Secret 값 디코딩 확인
kubectl get secret db-secret -o jsonpath='{.data.DB_PASS}' | base64 -d; echo

# Pod 안에서 실제 주입된 환경변수 확인
kubectl exec deploy/myapp -- env | grep -E 'LOG_LEVEL|DB_'

# 마운트된 설정 파일 확인
kubectl exec deploy/myapp -- cat /etc/app/application.yaml