Gérer ConfigMap et Secret Kubernetes

La ConfigMap transporte des paramètres ordinaires ; Secret transporte des octets destinés à un traitement plus restreint mais n'est pas automatiquement chiffré de bout en bout.

1. Choisir un cluster de recette avec RBAC limité.
2. Créer un namespace dédié.
3. Vérifier le contexte avant toute ressource.

kubectl config current-context
kubectl create namespace adn-config-lab

Un paramètre public peut être fourni à un Pod par une ConfigMap.

1. Créer adn-config avec mode=demo.
2. Lire ses métadonnées sans données sensibles.
3. Prévoir une référence explicite dans le manifeste de Pod.

kubectl -n adn-config-lab create configmap adn-config --from-literal=mode=demo
kubectl -n adn-config-lab get configmap adn-config

Pour un vrai secret, éviter --from-literal sur la ligne de commande car les arguments peuvent être historisés ou visibles par d'autres processus.

1. Dans le laboratoire, créer un fichier contenant une valeur fictive non sensible.
2. Créer le Secret à partir du fichier de recette.
3. Effacer le fichier de test après usage ; en production, utiliser un fournisseur sécurisé, des fichiers temporaires protégés ou une intégration de coffre.

umask 077
printf 'EXEMPLE-VALEUR-FICTIVE' > demo-token.txt
kubectl -n adn-config-lab create secret generic adn-secret --from-file=api-key=demo-token.txt
rm demo-token.txt
kubectl -n adn-config-lab get secret adn-secret

La création des ressources ne démontre rien tant qu'un Pod ne les consomme pas.

1. Créer pod.yaml avec un Pod de recette lisant mode via ConfigMap et api-key via un volume Secret.
2. Limiter l'affichage au nom des fichiers du volume et à la variable non sensible.
3. Ne pas utiliser cat sur le chemin du Secret pendant la recette.

apiVersion: v1
kind: Pod
metadata:
  name: demo-config
  namespace: adn-config-lab
spec:
  restartPolicy: Never
  containers:
    - name: demo
      image: busybox:1.36
      command: ["sh", "-c", "echo mode=$MODE; ls -l /etc/creds; sleep 300"]
      env:
        - name: MODE
          valueFrom:
            configMapKeyRef: {name: adn-config, key: mode}
      volumeMounts:
        - {name: creds, mountPath: /etc/creds, readOnly: true}
  volumes:
    - name: creds
      secret: {secretName: adn-secret}
# Enregistrer dans pod.yaml ; puis : kubectl apply -f pod.yaml

Valider la consommation sans afficher la valeur secrète est un prérequis sécurité.

1. Appliquer pod.yaml et attendre Running.
2. Vérifier que la ConfigMap apparaît sous mode=demo et que le fichier api-key existe.
3. Supprimer seulement le namespace de test après vérification.

kubectl apply -f pod.yaml
kubectl -n adn-config-lab wait --for=jsonpath='{.status.phase}'=Running pod/demo-config --timeout=90s
kubectl -n adn-config-lab logs pod/demo-config
# Attendu : mode=demo et fichier api-key listé, jamais sa valeur.
kubectl delete namespace adn-config-lab