ConfigMap 与 Secret 能装多少
单个 ConfigMap 或 Secret 的大小上限约 1MiB，这是存储层的限制；Secret 的内容还会经过 base64 编码，体积大约变成原文的 1.37 倍。用 env 或 envFrom 注入时，内容整体进入进程环境，还会受环境变量总长度的约束。因此大配置、二进制文件这类内容应换承载方式：放进对象存储或用独立卷，由 initContainer 拉取到容器内。
基本信息
| 适用对象 | 各版本的 ConfigMap 与 Secret |
|---|---|
| 大小上限 | 单对象约 1MiB |
| Secret 体积放大 | base64 编码后约为原文的 1.37 倍 |
| 注入方式 | env、envFrom、卷挂载，体积与热更新特性各不相同 |
| 替代方案 | 对象存储、独立数据卷、镜像内嵌配置 |
典型使用场景
- 配置治理：评估哪些内容适合放在 ConfigMap，哪些必须外置
- 大文件处理：模型文件、压缩包、初始化数据改走对象存储
- 凭据管理：证书链与密钥放 Secret 卷并限制文件权限
- 多环境差异：用 Kustomize 或 Helm 分层而不是复制多份近似对象
- 故障排查：从对象体积入手定位创建被拒或注入失败
检查体积
检查体积
kubectl get cm app-config -n prod -o yaml | wc -c # 粗略看对象体积
kubectl get secret app-secret -n prod -o yaml | wc -c # base64 后约放大到 1.37 倍
kubectl get cm app-config -n prod -o jsonpath='{.data}' | wc -c
kubectl describe pod web-x -n prod | grep -i -E 'too long|invalid' # 注入失败时的线索内容与建议承载方式
| 内容类型 | 建议承载 | 原因 |
|---|---|---|
| 几十行键值与配置文件 | ConfigMap 或 Secret | 原生支持，注入方式简单 |
| 证书与凭据 | Secret 卷 | 可限制文件权限，避免进入环境变量 |
| 超过 1MiB 或二进制 | 对象存储或独立卷 | 超出单对象大小限制，编码还会膨胀 |
| 多环境差异配置 | Kustomize 或 Helm 分层 | 避免维护多份近似对象 |
用 envFrom 注入的内容越大，进程环境越臃肿，而且更新配置需要重建 Pod 才生效；需要热更新的配置用卷挂载更合适。
拆分粒度按变更频率来定：经常调整的配置与基本不动的配置分开存放，能显著减少不必要的 Pod 重建。