K8s配置管理：ConfigMap与Secret核心区别

在 Kubernetes（K8s）中，ConfigMap 和 Secret 都是用于存储配置信息的资源对象，核心作用是实现 “配置与容器解耦”，但二者在数据用途、存储方式、安全级别等方面有显著区别，具体如下：

1. 核心用途不同

• ConfigMap：用于存储非敏感的配置数据，如应用程序的配置文件（app.conf）、环境变量（如数据库地址、端口号）、命令行参数等。
  例：存储 Nginx 的 nginx.conf 配置、Java 应用的 application.properties 等。

• Secret：专门用于存储敏感信息，如密码、令牌（Token）、API 密钥、证书等。
  例：数据库的用户名密码、HTTPS 证书、访问第三方服务的密钥等。

2. 数据存储方式不同

• ConfigMap：数据以明文形式存储在 Kubernetes 集群的 etcd 中（键值对形式），可通过 kubectl get configmap <名称> -o yaml 直接查看内容。

• Secret：数据会经过Base64 编码后存储（并非加密，Base64 是编码方式，可反向解码），目的是避免敏感信息在配置文件或命令行中明文暴露，但本质上仍需结合 RBAC 权限控制或加密插件（如 kube-encrypt）确保安全。
  例：Secret 中存储的密码 mypass123 会被编码为 bXlwYXNzMTIz，可通过 echo "bXlwYXNzMTIz" | base64 -d 解码还原。

3. 使用限制不同

• ConfigMap：无特殊限制，可存储任意非敏感配置，数据大小通常建议不超过 1MB（过大可能影响集群性能）。

• Secret：除了大小限制（同 ConfigMap，建议不超过 1MB），还有更严格的权限控制：

  • 默认情况下，Secret 仅对所在命名空间的 Pod 可见，需通过 RBAC 权限明确授权才能被其他命名空间访问；
  • 部分场景下，Secret 会被挂载为只读文件，防止容器内意外修改敏感信息。

4. 挂载与使用方式

二者在 Pod 中的使用方式类似（可通过环境变量或文件挂载），但 Secret 因敏感特性，挂载时默认权限更严格（如文件权限为 0400 或 0600）：

• 环境变量方式：
  ConfigMap 和 Secret 都可通过 env 字段注入容器环境变量，供应用程序读取。
• 文件挂载方式：
  都会被挂载为容器内的文件（ConfigMap 挂载的文件内容为明文，Secret 挂载的文件内容为 Base64 解码后的原始值）。

总结：如何选择？

• 若配置信息不涉及敏感数据（如普通配置参数、日志级别），用 ConfigMap；
• 若配置信息包含密码、密钥等敏感内容，必须用 Secret，并结合集群安全策略（如权限控制、加密存储）进一步保护。