🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🔑 धडा 06 — ConfigMaps आणि Secrets: सूचना-फलक विरुद्ध लॉकरची चावी

📍 तुम्ही इथे आहात: 13 पैकी धडा 06 · मागचा: lesson-05-namespaces · पुढचा: lesson-07-health-probes

📦 या ब्रँचमध्ये काय आहे

धडे 01–05, आणि: ConfigMaps (साध्या settings) आणि Secrets (संवेदनशील settings) — image च्या बाहेर राहणारी configuration. खऱ्या files:

k8s/configmap.yaml — PORT, APP_VERSION
k8s/secret.example.yaml — DATABASE_URL चा साचा (copy → secret.yaml, git-ignored)
k8s/deployment.yaml — जिथे pod दोन्ही वाचतो

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

शाळेत दोन प्रकारची माहिती असते:

सूचना-फलक 📌 — "जेवण 12:30 ला", "शुक्रवारी क्रीडा दिन". सार्वजनिक! कोणीही वाचू शकते, आणि शिक्षिका शाळा पुन्हा न बांधता ती बदलू शकतात. हा ConfigMap.
तुमच्या लॉकरची चावी 🔑 — तुम्ही तुमची लॉकरची चावी सूचना-फलकावर लावत नाही! ती काळजीपूर्वक ठेवली जाते, फक्त तुम्हालाच दिली जाते, आणि कोणी तिची झेरॉक्स वर्गाच्या मासिकात छापत नाही. हे Secret.

आणि सोनेरी नियम: दोन्हीपैकी काहीच डब्याच्या आत जात नाही 🍱. जेवणाचा मेनू प्रत्येक डब्याच्या (image) आत laminate केलेला असेल, तर जेवणाची वेळ बदलायला 100 डबे पुन्हा भरावे लागतील. Settings भिंतीवर, चाव्या खिशात — आणि तोच डबा dev, staging आणि production मध्ये चालतो.

🗺️ आकृती

flowchart LR
    img["🍱 Image school-api<br/>same everywhere<br/>NO config inside"]
    cm["📌 ConfigMap<br/>PORT: 3000<br/>APP_VERSION: k8s"]
    sec["🔑 Secret<br/>DATABASE_URL:<br/>postgres://...password..."]
    subgraph pod["🪑 Pod at start-up"]
        env["env vars injected:<br/>PORT, APP_VERSION,<br/>DATABASE_URL"]
        app["school-api process<br/>reads process.env"]
        env --> app
    end
    img --> pod
    cm -- "envFrom / configMapKeyRef" --> env
    sec -- "secretKeyRef" --> env

❓ काय

ConfigMap = गुप्त नसलेल्या config च्या key→value जोड्या, ज्या pods मध्ये env vars म्हणून टाकल्या जातात (किंवा files म्हणून mount केल्या जातात).
Secret = संवेदनशील values साठी तीच कल्पना. base64-encoded स्वरूपात साठवले जाते (ते encoding आहे, encryption नाही!) आणि त्यावर access नियंत्रित करता येतो; खऱ्या production मध्ये तुम्ही encryption-at-rest किंवा AWS Secrets Manager सारखा manager जोडता.
Pods त्यांना नावाने संदर्भ देतात — config बदला, pods restart करा, image तीच.

🔐 security चे एक वाक्य

Kubernetes Secret ला Secret म्हणतात म्हणून ते आपोआप सुरक्षित तिजोरी होत नाही. Default ने ते etcd मध्ये base64 असते — encryption at rest चालू करा, get secrets कोण करू शकते ते मर्यादित करा (RBAC, L17), आणि ते कधीच commit करू नका. या repo मधली git-ignored secret.yaml ही फक्त शिकण्यासाठीची secret हाताळणी आहे — production मध्ये खास secret manager वापरतात (External Secrets किंवा Sealed Secrets — ArgoCD शाळा L12; AWS Secrets Manager — AWS शाळा).

🤔 का

तीच image तुमच्या laptop वर (नकली DB), staging मध्ये, आणि prod मध्ये (खरे RDS) चालली पाहिजे — फक्त settings वेगळ्या असतात. Config ला code पासून वेगळे ठेवणे हा twelve-factor apps चा नियम #1 आहे. आणि secrets ना config पेक्षा वेगळे दार लागते: port number तुम्ही आनंदाने git commit करता; database password कधीच commit करत नाही. म्हणूनच इथे secret.yaml git-ignored आहे आणि repo मध्ये फक्त secret.example.yaml (CHANGE_ME सह) आहे.

🔧 कसे (या repo मध्ये)

k8s/configmap.yaml मध्ये साध्या values आहेत. मग k8s/deployment.yaml दोन्ही pod मध्ये जोडते:

envFrom:
  - configMapRef:                 # 📌 the whole notice board at once
      name: school-api-config     #    (every key becomes an env var)
env:
  - name: DATABASE_URL
    valueFrom:
      secretKeyRef:               # 🔑 one key from the locker
        name: school-api-secrets
        key: DATABASE_URL
        optional: true            # no secret? app falls back to in-memory mode

App स्वतः फक्त process.env.PORT वाचते — Kubernetes अस्तित्वात आहे याची तिला कल्पनाही नाही.

🧪 करून पाहा

kubectl apply -f k8s/configmap.yaml

# Make your real (git-ignored) secret from the example:
cp k8s/secret.example.yaml k8s/secret.yaml   # edit the password inside
kubectl apply -f k8s/secret.yaml

kubectl -n school get configmap school-api-config -o yaml   # readable 📌
kubectl -n school get secret school-api-secrets -o yaml     # base64 gibberish 🔑

# Prove base64 is NOT encryption:
kubectl -n school get secret school-api-secrets \
  -o jsonpath='{.data.DATABASE_URL}' | base64 -d; echo

# Change config → roll pods → same image, new settings:
kubectl -n school rollout restart deployment school-api

🔧 या धड्यासाठी kubectl

kubectl get cm,secret · kubectl describe cm · kubectl create secret generic

🔗 यावर आधारित: 🪪 AWS L05 (machines ना keys नाही, roles मिळतात) · 🍱 Docker L08 (secrets कधीच image मध्ये भाजू नका)

✅ तपासा — तुम्हाला काय दिसायला हवे

kubectl exec POD -- env | grep PORT ConfigMap ची value दाखवते; Secret ची value पण दिसते — कारण default ने Secret साठवलेले असताना फक्त base64 असते.

🧹 साफसफाई

kubectl delete secret school-db — आणि secret.yaml कधीच commit करू नका

⚠️ नेहमीच्या चुका

नावामुळे Secret encrypted आहे असे मानणे — encryption at rest + RBAC चालू करा
password inject करण्याऐवजी image मध्ये भाजून टाकणे (Docker L08)

⏭️ पुढे

Pods चालतात — पण ते निरोगी आहेत का? Pod गोठला आहे, किंवा अजून तयार नाही, हे Kubernetes ला कसे कळते? Probes — शिक्षिकांचे दोन प्रश्न.

git checkout lesson-07-health-probes

🔑 Lesson 06 — ConfigMaps & Secrets: notice board vs locker key

📍 You are here: Lesson 06 of 13 · Previous: lesson-05-namespaces · Next: lesson-07-health-probes

📦 What's in this branch

Lessons 01–05, plus: ConfigMaps (plain settings) and Secrets (sensitive settings) — configuration that lives outside the image. Real files:

k8s/configmap.yaml — PORT, APP_VERSION
k8s/secret.example.yaml — DATABASE_URL template (copy → secret.yaml, git-ignored)
k8s/deployment.yaml — where the pod reads both

🧒 Explain like I'm 5

Two kinds of information at school:

The notice board 📌 — "Lunch at 12:30", "Sports day Friday". Public! Anyone may read it, and the teacher can change it without rebuilding the school. That's a ConfigMap.
Your locker key 🔑 — you do NOT pin your locker key to the notice board! It's kept carefully, given only to you, and nobody photocopies it into the class magazine. That's a Secret.

And the golden rule: neither goes inside the lunchbox 🍱. If the lunch menu were laminated inside every lunchbox (image), changing lunch time would mean re-packing 100 boxes. Keep settings on the wall, keys in pockets — and the same lunchbox works in dev, staging and production.

🗺️ Diagram

flowchart LR
    img["🍱 Image school-api<br/>same everywhere<br/>NO config inside"]
    cm["📌 ConfigMap<br/>PORT: 3000<br/>APP_VERSION: k8s"]
    sec["🔑 Secret<br/>DATABASE_URL:<br/>postgres://...password..."]
    subgraph pod["🪑 Pod at start-up"]
        env["env vars injected:<br/>PORT, APP_VERSION,<br/>DATABASE_URL"]
        app["school-api process<br/>reads process.env"]
        env --> app
    end
    img --> pod
    cm -- "envFrom / configMapKeyRef" --> env
    sec -- "secretKeyRef" --> env

❓ What

ConfigMap = key→value pairs of NON-secret config, injected into pods as env vars (or mounted as files).
Secret = same idea for sensitive values. Stored base64-encoded (that's encoding, not encryption!) and access-controllable; in real production you add encryption-at-rest or a manager like AWS Secrets Manager.
Pods reference them by name — change the config, restart the pods, same image.

🔐 One security sentence

A Kubernetes Secret is not automatically a secure vault because it is called a Secret. By default it is base64 in etcd — turn on encryption at rest, restrict who may get secrets (RBAC, L17), and never commit it. The git-ignored secret.yaml in this repo is learning-only secret handling — production uses a dedicated secret manager (External Secrets or Sealed Secrets — ArgoCD school L12; AWS Secrets Manager — AWS school).

🤔 Why

The same image must run on your laptop (fake DB), in staging, and in prod (real RDS) — only the settings differ. Separating config from code is rule #1 of twelve-factor apps. And secrets need a different door than config: you happily git commit a port number; you never commit a database password. That's exactly why secret.yaml is git-ignored here and only secret.example.yaml (with CHANGE_ME) is in the repo.

🔧 How (in this repo)

k8s/configmap.yaml holds the plain values. Then k8s/deployment.yaml wires both into the pod:

envFrom:
  - configMapRef:                 # 📌 the whole notice board at once
      name: school-api-config     #    (every key becomes an env var)
env:
  - name: DATABASE_URL
    valueFrom:
      secretKeyRef:               # 🔑 one key from the locker
        name: school-api-secrets
        key: DATABASE_URL
        optional: true            # no secret? app falls back to in-memory mode

The app itself just reads process.env.PORT — it has no idea Kubernetes exists.

🧪 Try it

kubectl apply -f k8s/configmap.yaml

# Make your real (git-ignored) secret from the example:
cp k8s/secret.example.yaml k8s/secret.yaml   # edit the password inside
kubectl apply -f k8s/secret.yaml

kubectl -n school get configmap school-api-config -o yaml   # readable 📌
kubectl -n school get secret school-api-secrets -o yaml     # base64 gibberish 🔑

# Prove base64 is NOT encryption:
kubectl -n school get secret school-api-secrets \
  -o jsonpath='{.data.DATABASE_URL}' | base64 -d; echo

# Change config → roll pods → same image, new settings:
kubectl -n school rollout restart deployment school-api

🔧 kubectl for this lesson

kubectl get cm,secret · kubectl describe cm · kubectl create secret generic

🔗 Builds on: 🪪 AWS L05 (machines get roles, not keys) · 🍱 Docker L08 (never bake secrets)

✅ Verify — what you should see

kubectl exec POD -- env | grep PORT shows the ConfigMap value; the Secret value appears too — because a Secret is only base64 at rest by default.

🧹 Clean up

kubectl delete secret school-db — and never commit secret.yaml

⚠️ Common mistakes

believing a Secret is encrypted because of its name — enable encryption at rest + RBAC
baking the password into the image (Docker L08) instead of injecting it

⏭️ Next

Pods run — but are they healthy? How does Kubernetes know a pod is frozen, or not ready yet? Probes — the teacher's two questions.

git checkout lesson-07-health-probes

← Previousnamespaces Next →health probes

This page is the lesson's README from the lesson-06-configmaps-secrets branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.