在 Kubernetes 中，通过 Secret 对象配合 env 或 envFrom 字段将密码等敏感信息作为环境变量注入 Pod，全程不暴露明文。创建 Secret 可用 kubectl create secret 命令（推荐）、文件或 YAML 方式；单个注入用 secretKeyRef，批量注入用 envFrom.secretRef；需注意命名空间、键名规范及运行时安全风险。
在 Kubernetes 中，把密码等敏感信息作为环境变量注入 Pod，核心是用 Secret 对象配合 env 或 envFrom 字段实现。整个过程不暴露明文，也不写死在镜像或配置里。
创建 Secret 存储密码
Secret 必须先存在，才能被 Pod 引用。推荐用 kubectl create secret 命令快速创建，避免手动 base64 编码出错：
- 从字面值创建（最常用）：
kubectl create secret generic db-creds --from-literal=DB_USER=admin --from-literal=DB_PASS=123456 - 从文件创建（适合已有密码文件）：
kubectl create secret generic db-creds --from-file=./db-user.txt --from-file=./db-pass.txt - 用 YAML 创建（适合 CI/CD 管控）：
先 base64 编码值：echo -n "admin" | base64→ 得到YWRtaW4=
再写 YAML：apiVersion: v1<br>kind: Secret<br>metadata:<br> name: db-creds<br>type: Opaque<br>data:<br> DB_USER: YWRtaW4=<br> DB_PASS: MTIzNDU2
单个环境变量注入（精准控制）
适用于只需引用部分密钥、或需重命名变量名的场景。在容器 env 列表中用 secretKeyRef 指定：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- Pod 配置片段示例：
env:<br>- name: DATABASE_USER<br> valueFrom:<br> secretKeyRef:<br> name: db-creds<br> key: DB_USER<br>- name: DATABASE_PASSWORD<br> valueFrom:<br> secretKeyRef:<br> name: db-creds<br> key: DB_PASS
- 注意：
name是 Secret 名称，key是 Secret 中的键名，name字段（如DATABASE_USER）才是容器内实际看到的环境变量名
批量注入所有密钥（简化配置）
当 Secret 中多个键都要变成环境变量时，用 envFrom.secretRef 更高效：
- 配置写法简洁：
envFrom:<br>- secretRef:<br> name: db-creds
- 效果：Secret 中所有键（如
DB_USER、DB_PASS）会直接变成同名环境变量，无需逐条定义 - 注意：如果 Pod 中已有同名环境变量，会被 Secret 中的值覆盖；建议确保 Secret 键名符合环境变量命名规范（字母、数字、下划线）
验证与注意事项
注入后可进容器确认是否生效：
- 执行：
kubectl exec -it <pod-name> -- sh -c 'printenv | grep DB' - 看到
DATABASE_USER=admin或DB_USER=admin即表示成功 - 安全提醒：环境变量在容器内存中为明文，仅靠 Secret 不能替代应用层加密；不要在日志中打印这些变量
- 调试技巧：若变量未出现，先检查 Secret 是否在相同 namespace；再用
kubectl describe secret db-creds确认 data 条目是否存在且非空
