| 创建 | kubectl create secret generic db --from-literal=password=... |
|---|---|
| 安全点 | 静态加密、RBAC、ServiceAccount 权限、节点上的临时存储与可读范围 |
| 提示 | Secret 落入节点磁盘的方式与卷类型相关，敏感场景核对文档 |
静态加密配置要点
静态加密配置要点
apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
- resources: [secrets]
providers:
- kms:
apiVersion: v2
name: app-kms
endpoint: unix:///var/run/kmsplugin/socket.sock
- identity: {}默认配置下能读 Secret 的人可能远多于预期：定期审计 ClusterRole 与命名空间 RBAC 绑定。