# 🔐 ConfigMap và Secret: biến môi trường, volume mount và cạm bẫy
## Mục tiêu bài học
- Tạo được ConfigMap và Secret từ literal, từ file và từ cả thư mục bằng `kubectl`.
- Đưa cấu hình vào Pod qua hai đường: biến môi trường (`env`, `envFrom`) và volume mount, biết khi nào dùng đường nào.
- Nhận diện các cạm bẫy kinh điển: secret lộ trong manifest hoặc Git, base64 bị nhầm là mã hoá, sửa cấu hình mà app không reload.
- Kiểm tra được một Pod đang ăn cấu hình từ object nào và debug lỗi thiếu key, thiếu object.
## Ôn lại nhanh (2 phút)
Ở Module 1 bạn đã biết Pod là đơn vị nhỏ nhất, Deployment quản ReplicaSet và rollout theo template. Điểm mấu chốt: **image là bất biến**, nên mọi thứ thay đổi theo môi trường (dev, staging, prod) phải nằm ngoài image. Service và Ingress lo phần "ai gọi tới Pod", còn bài này lo phần "Pod đọc cấu hình ở đâu ra".
## Lý thuyết
### 1. ConfigMap: cấu hình không bí mật
ConfigMap là API object chứa các cặp key-value dạng text. Nó **không** mã hoá gì cả, ai có quyền `get` object là đọc được toàn bộ.
```bash
kubectl create configmap app-config \
--from-literal=LOG_LEVEL=info \
--from-literal=APP_MODE=production
kubectl create configmap nginx-conf --from-file=default.conf=./nginx/default.conf
```
Với `--from-file`, tên file trở thành key; nếu muốn key khác thì viết `key=đường/dẫn/file`.
### 2. Secret: cũng là key-value, nhưng có ý nghĩa bảo mật
Secret có cấu trúc gần giống ConfigMap, thêm `type` (`Opaque`, `kubernetes.io/tls`, `kubernetes.io/dockerconfigjson`) và được các cơ chế như RBAC, encryption at rest trong etcd, audit log đối xử riêng.
> [!WARNING]
> Secret lưu giá trị dưới dạng {{c1::base64}}, nhưng base64 chỉ là encoding chứ không phải {{c2::mã hoá}}. Bất kỳ ai đọc được object đều decode ra plaintext trong một giây. Đừng commit file Secret YAML lên Git.
### 3. Hai con đường đưa cấu hình vào Pod
```mermaid
flowchart LR
CM["📦
ConfigMap / Secret"] --> ENV["🌱
env / envFrom"]
CM --> VOL["📁
volume mount"]
ENV --> P1["Pod
giá trị chốt lúc container start"]
VOL --> P2["Pod
file được đồng bộ lại khi object đổi"]
```
**Đường 1: biến môi trường.** Dùng `envFrom` cho toàn bộ key, hoặc `env.valueFrom` cho từng key cụ thể (bắt buộc khi key có dấu chấm, dấu gạch ngang, vì `envFrom` sẽ bỏ qua key không hợp lệ với tên biến môi trường).
**Đường 2: volume mount.** Mỗi key thành một file trong thư mục mount. Cách này hợp với file cấu hình (nginx.conf, application.yaml) và là cách **duy nhất** để app thấy thay đổi mà không cần restart.
| Tiêu chí | env / envFrom | volume mount |
| --- | --- | --- |
| Định dạng phù hợp | chuỗi ngắn | file cấu hình dài |
| Tự cập nhật khi sửa object | Không | Có, sau độ trễ đồng bộ của kubelet |
| Dùng `subPath` | không áp dụng | **Mất tính năng tự cập nhật** |
| Lưu trên đĩa node | có | Secret dùng tmpfs (RAM) |
Biến môi trường từ ConfigMap {{c3::không tự cập nhật}} khi ConfigMap thay đổi, bạn phải `kubectl rollout restart`. Volume mount thì có đồng bộ lại, **trừ khi** dùng {{c4::subPath}}.
### 4. Vài thuộc tính đáng nhớ
- `optional: true`: cho phép Pod vẫn chạy khi thiếu object hoặc thiếu key. Mặc định thiếu là Pod kẹt ở `CreateContainerConfigError` (env) hoặc `FailedMount`/`Pending` (volume).
- `immutable: true`: chặn sửa/xoá, giảm tải cho API server và kubelet khi cluster lớn. Đặt `immutable: {{c5::true}}` nghĩa là muốn đổi thì phải tạo object mới.
- `defaultMode`: với Secret nên đặt `0400` thay vì mặc định `0644`.
## Ví dụ có hướng dẫn
**Ví dụ 1: ConfigMap làm biến môi trường**
```yaml
apiVersion: v1
kind: ConfigMap
metadata:
name: app-config
data:
LOG_LEVEL: info
APP_MODE: production
---
apiVersion: v1
kind: Pod
metadata:
name: api
spec:
containers:
- name: api
image: nginx:1.27
envFrom:
- configMapRef:
name: app-config
```
Kiểm tra: `kubectl exec api -- env | grep -E 'LOG_LEVEL|APP_MODE'`.
Sửa `LOG_LEVEL` thành `debug`, vào Pod xem lại: vẫn là `info`. Đây chính là cạm bẫy số một.
**Ví dụ 2: Mount file cấu hình và quan sát reload**
```yaml
spec:
containers:
- name: web
image: nginx:1.27
volumeMounts:
- name: nginx-conf
mountPath: /etc/nginx/conf.d
readOnly: true
volumes:
- name: nginx-conf
configMap:
name: nginx-conf
```
Sau khi `kubectl edit configmap nginx-conf`, chờ khoảng 30 tới 60 giây rồi `kubectl exec web -- cat /etc/nginx/conf.d/default.conf`, nội dung đã đổi. Nhưng nginx thì chưa nạp lại: app vẫn phải tự reload (`nginx -s reload`) hoặc bạn phải restart. Volume cập nhật file, **không** restart tiến trình giúp bạn.
**Ví dụ 3: Secret mount an toàn hơn**
```yaml
volumes:
- name: db-secret
secret:
secretName: db-secret
defaultMode: 0400
```
File nằm trong tmpfs, quyền chỉ đọc cho owner, không ghi xuống đĩa node.
## Thực hành có hướng dẫn
**Bài 1: Tạo cấu hình từ file**
1. Tạo `app.properties` với 2 dòng `retries=3` và `timeout=30s`.
2. `kubectl create configmap app-props --from-file=app.properties`
3. `kubectl get configmap app-props -o yaml` và xác nhận key là `app.properties`.
Gợi ý đáp án
Toàn bộ nội dung file nằm trong một key duy nhất là tên file. Nếu muốn tách từng key, dùng `--from-env-file=app.properties` cho định dạng `KEY=value`.
Gợi ý đáp án
Pod kẹt ở `CreateContainerConfigError`. Đây là lỗi bạn sẽ gặp rất nhiều khi deploy, nên nhớ nó nằm ở phần `Events`, không phải trong log container (container chưa hề start).
Gợi ý đáp án
Env giữ giá trị cũ, file đã đổi. Đây là lý do nhiều team chọn volume mount cho cấu hình cần thay đổi nóng, và chọn env cho cấu hình ngắn, ít đổi.