Я начал использовать kustomize. Он позволяет создавать секреты с помощью чего-то вроде:
secretGenerator:
- name: mariadb-env
envs:
- mariadb.env
Это здорово, потому что kustomize добавляет хэш так что каждый раз, когда я редактирую свой секрет, кубернеты будут видеть его как новый и перезапускать сервер.
Однако, если я поставлю kustomization.yaml под контролем версий, тогда это вид означает, что я положил mariadb.env тоже под контролем версий. Если нет, то kustomize build x завершится ошибкой из-за отсутствия файла [для любого, кто пытается клонировать репо]. Даже если я не помещу его в VCS, это все равно означает, что у меня есть эти секретные файлы на моей рабочей станции разработчика.
Прежде чем использовать kustomize, я бы просто создал секрет один раз, отправил его в кластер kubernetes и оставил там жить. Я все еще мог ссылаться в своих конфигурациях по имени, но с хешем я больше не могу этого делать. Но хеш также невероятно полезен для принудительного перезапуска.
Как люди с этим справляются?