2026/7/23大约 2 分钟
在 Kubernetes (K8s) 中，ConfigMap 和 Secret 都是用来实现“配置与代码分离”的对象。它们允许你将应用程序的配置、凭据等信息从容器镜像中剥离出来，从而提高应用的可移植性和安全性。
1. ConfigMap：通用配置管理
ConfigMap 主要用于存储非敏感的配置数据。你可以将其理解为一个外部的“配置字典”。
-
常见用途：
-
存储环境变量（如
DB_HOST=localhost）。 -
存储配置文件（如
nginx.conf、application.yml）。 -
存储命令行参数。
-
存储形式： 以明文形式存储在 etcd 中。
2. Secret：敏感数据管理
Secret 专门用于存储敏感信息。它的工作机制与 ConfigMap 类似，但在处理和存储上多了一层保护。
-
常见用途：
-
数据库密码、用户密钥。
-
SSH 密钥、TLS 证书。
-
Docker Registry 的认证信息（用于拉取私有镜像）。
-
存储形式： 在 etcd 中以 Base64 编码存储（注意：Base64 仅是编码，不是加密，生产环境通常需要配合额外的加密插件，如 KMS）。
3. ConfigMap vs Secret 的核心区别
| 特性 | ConfigMap | Secret |
|---|---|---|
| 主要目的 | 存储非敏感配置（明文） | 存储敏感信息（加密/编码） |
| 数据展示 | 直接可见明文 | 默认以 Base64 编码显示 |
| 典型内容 | 配置文件、环境变量、开关 | 密码、Token、证书、密钥 |
| 内存限制 | 1MB (etcd 限制) | 1MB (etcd 限制) |
| 挂载机制 | 可作为环境变量或文件挂载 | 同左，但挂载为文件时通常使用内存文件系统 (tmpfs) |
4. 它们是如何被使用的？
无论哪种对象，你通常有三种方式将它们注入到 Pod 中：
- 环境变量 (Environment Variables)： 直接将键值对映射给容器。
- 命令行参数 (Command-line arguments)： 在
args中引用。 - 数据卷挂载 (Volume Mounts)： 将配置对象挂载为容器内的一个目录，每个 Key 都会变成该目录下的一个文件。这种方式最常用，因为支持热更新（修改 ConfigMap 后，容器内的文件会自动更新，而环境变量则需要重启 Pod）。
关键建议
虽然 Secret 默认只是 Base64 编码，但在集群管理中，Kubernetes 对 Secret 有特殊的优化：比如 Secret 数据通常只发送到运行相关 Pod 的节点上，且存储在节点的内存中（tmpfs），而不是写到磁盘上。
你想了解如何编写一个 YAML 文件来将 ConfigMap 挂载为容器内的配置文件吗？