Секреты

Пароли, токены и ключи помещаются в Secret, а не в ConfigMap. Универсальный Secret создаётся таким же образом:

kubectl create secret generic db-pass --from-literal=password=s3cret

Kubernetes отвечает: secret/db-pass created.

Kubernetes осторожно обращается со значениями. kubectl describe secret db-pass показывает только размер каждой записи, например password: 6 bytes, но никогда не само значение.

Сохранённая форма закодирована в base64, что можно увидеть с помощью kubectl get secret db-pass -o yaml. Кодирование — это не шифрование: любой, кому разрешено читать Secret, может декодировать его. Защита обеспечивается контролем того, кто вообще может читать Secrets.