Расшифровка секрета Kubernetes

Это связь, который вы, возможно, ищете.

Секреты Kubernetes требуют, чтобы секреты были предоставлены в формате с кодировкой base64, который может быть создан с использованием двоичного кода base64 в случае дистрибутивов Linux.

Пример:

echo "hello" | base64
aGVsbG8K

Kubernetes декодирует кодировку base64, когда мы передаем секретный ключ как переменную среды или монтируем как том.

Вы можете использовать kubectl get secrets/db-user-pass -o yaml или -o json, где вы увидите username и password в кодировке base64. Затем вы можете скопировать значение и расшифровать его с помощью чего-то вроде echo <ENCODED_VALUE> | base64 -D (Mac OS X).

Более компактный однострочный для этого:

kubectl get secrets/db-user-pass --template = {{.data.password}} | base64 -D

и аналогично для имени пользователя:

kubectl get secrets/db-user-pass --template = {{.data.username}} | base64 -D

Примечание: в GNU/Linux флаг base64 — это -d, а не -D.

Во-первых, получите секрет от etcd, запросив сервер API с помощью kubectl.

kubectl get secret db-user-pass -o yaml 

Это даст вам секрет в кодировке base64 в формате yaml.

Как только у вас есть файл yaml, декодируйте их, используя

"base64 --decode"

Окончательная команда будет выглядеть так: Не забудьте флаг -n в команде echo

echo -n "jdddjdkkdkdmdl" | base64 --decode

Я бы предложил использовать эту удобную команду. Он использует мощность go-шаблоны. Он перебирает все значения, декодирует их и печатает вместе с ключом. Он также обрабатывает не заданные значения.

kubectl get secret name-of-secret -o go-template='
{{range $k,$v := .data}}{{printf "%s: " $k}}{{if not $v}}{{$v}}{{else}}{{$v | base64decode}}{{end}}{{"\n"}}{{end}}'

## In your case it would output
# password: decoded_password
# username: decoded_username

Если вам не нравятся шаблоны go, вы можете использовать разные форматы вывода, например. yaml или json, но это выведет секреты, закодированные base64.

Для более простого декодирования вы можете использовать такой инструмент, как ксд, который сделает для вас декодирование base64.

kubectl get secrets/db-user-pass -o yaml | ksd

или используя https://github.com/elsesiy/kubectl-view-секрет

kubectl view-secret secrets/db-user-pass

Если у вас есть jq (запрос json), это работает:

kubectl get secret db-user-pass -o json | jq '.data | map_values(@base64d)'

ПРИМЕЧАНИЕ:

• db-user-pass это название секрета k8s
• .data — это переменная внутри, которая содержит секретное значение

на убунту 18+

kubectl get secrets/db-user-pass --template = {{.data.password}} | base64 -d

Кубернет 1.11+

kubectl get secrets/db-user-pass --template='{{.data.password | base64decode }}'

Если ваши секретные ключи содержат тире (-) или точку (.):

kubectl get secret db-user-pass -o=go-template='{{index .data "password"}}' | base64 -d

Расширение решения @Břetislav Hájek (большое спасибо за это). Если вам нужно получить его по метке, вам нужно добавить дополнительную команду range для перебора возвращенных элементов.

$ LABEL_FILTER = "app.kubernetes.io/name=mysql-chart"

$ kubectl get secret  -l "$LABEL_FILTER"  -o go-template='
{{range $i := .items}}{{range $k,$v := $i.data}}{{printf "%s: " $k}}{{if not $v}}{{$v}}{{else}}{{$v | base64decode}}{{end}}{{"\n"}}{{end}}{{end}}'

mysql_password: ...
mysql_root_password: ...
mysql_user: ...

С баш. Это работает под управлением Ubuntu 18.04 и Kubernetes 1.18.5.

kubectl -n metallb-system get secrets memberlist -o json | grep secretkey | grep -v f:s | awk -F '"' '{print$4}' |base64 --decode; echo

Этот один лайнер используется для получения закодированного файла kubeconfig из секрета и создания из него файла для динамического использования в задании ci, например:

kubectl get secret YOUR_SECRET -o json | grep -oP '(?<=\"YOUR_SECRET_KEY\": \")[^\"]*' | base64 --decode > ./YOUR_KUBECONFIG_FILE_NAME

Этот вариант jsonpath работает для меня на OSX.

kubectl get secrets/db-user-pass -o jsonpath = "{.data.username}" | base64 -d

Чтобы получить секрет с точкой в ​​имени.

kubectl get secrets/tls -o jsonpath = "{.data['tls\.crt']}" | base64 -d

Это должно работать на всех платформах с kubectl 1.11+.

kubectl get secrets/db-user-pass --template='{{.data.password | base64decode}}'

И если вы хотите получить все ключи, значения

kubectl get secrets/db-user-pass --template='{{ range $key, $value := .data }}{{ printf "%s: %s\n" $key ($value | base64decode) }}{{ end }}'

Минимальный инструмент командной строки nodejs (гитхаб)

npm i -g kusd
kubectl get secret your-secret -o yaml | kusd