Para operar Kubernetes com segurança, confirme primeiro o contexto do kubectl, explicite o namespace e inspecione o recurso antes de alterá-lo. Use ConfigMaps para configuração não confidencial e Secrets para credenciais — lembrando que Secrets não são criptografados por padrão no etcd. Em produção, prefira manifests revisados e versionados aplicados com kubectl apply.
Como usar kubectl no dia a dia sem agir no cluster errado
kubectl é o cliente que conversa com a API Kubernetes usando as informações de configuração e credenciais do kubeconfig. Como uma instalação pode conter vários contextos — combinações de cluster, usuário e namespace — confira o alvo antes de qualquer comando que crie, altere ou remova recursos. A documentação do kubectl descreve a ferramenta e recomenda gerenciamento declarativo para cargas de produção.
As an Amazon Associate I earn from qualifying purchases.
-
Veja o contexto ativo:
kubectl config current-context. Se houver dúvida sobre qual cluster ele representa, consulte os contextos configurados comkubectl config get-contextsantes de prosseguir.The Tool Desk
Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Outbyte PC Repair FREEClear out junk files and repair common Windows errorsFree Scan →Special offer. See more information about Outbyte and uninstall instructions. Please review EULA and Privacy policy. -
Confira os namespaces disponíveis:
kubectl get namespaces. -
Inspecione os recursos no namespace pretendido, por exemplo:
kubectl get pods -n staging. -
Antes de editar ou reiniciar algo, examine seus detalhes:
kubectl describe pod NOME -n staging. Para logs de uma aplicação gerenciada por Deployment, usekubectl logs deployment/APP -n staging.
O nome staging é apenas um exemplo: substitua-o pelo namespace do seu ambiente. O sinalizador -n é a forma curta de --namespace e deixa explícito o escopo do comando.
Do these 3 things before closing this tab:
1Repair Windows errors before they cause bigger problems2Fix the driver behind crashes, sound loss and screen glitches3Clear out junk files and repair common Windows errorsNamespaces: escopo de recursos, não fronteira completa de segurança
Namespaces organizam e delimitam recursos namespaced dentro de um cluster. Deployments e Services, por exemplo, pertencem a um namespace; Nodes e PersistentVolumes têm escopo de cluster. Portanto, não suponha que todo objeto aceite -n ou esteja isolado por namespace. Consulte a lista de recursos e seus escopos com kubectl api-resources --namespaced=true ou kubectl api-resources --namespaced=false. A documentação explica esse modelo em Namespaces.
Um namespace ajuda a organizar o acesso, mas não isola completamente usuários ou cargas por si só. Permissões RBAC e políticas adequadas são necessárias para controlar quem pode acessar recursos.
Definir um namespace padrão
Se quase todos os seus comandos forem direcionados ao mesmo namespace, é possível gravá-lo no contexto atual:
kubectl config set-context --current --namespace=staging
Free tools Windows power users keep installed
One-click scans. No signup required.
Essa alteração persiste para os comandos seguintes executados nesse contexto. Valide o valor com kubectl config view --minify e continue usando -n explicitamente quando quiser deixar o alvo evidente, sobretudo em comandos de alteração.
ConfigMap ou Secret: escolha conforme a confidencialidade
Ambos permitem separar configuração da imagem da aplicação e disponibilizá-la a Pods, mas a escolha deve depender da sensibilidade dos dados, não do formato em que estão escritos. A documentação de ConfigMaps e Secrets apresenta os usos e as formas de consumo.
| Recurso | Quando usar | Como um Pod pode consumir | Limite ou cuidado |
|---|---|---|---|
| ConfigMap | Configuração não confidencial, como opções de ambiente. | Variáveis de ambiente, argumentos de comando ou arquivos montados em volume. | Os dados não devem exceder 1 MiB; não é armazenamento para arquivos grandes. |
| Secret | Dados confidenciais, como senha, token ou chave. Há também tipos voltados a credenciais de registro de imagens. | Variáveis de ambiente ou arquivos montados em volume. | Por padrão, os dados ficam sem criptografia em etcd. O acesso à API, as permissões e quem pode criar Pods no namespace também importam. |
Um valor em Base64 não se torna confidencial: essa codificação pode apenas ofuscar o conteúdo. Um manifest pode usar stringData para receber texto sem exigir Base64, mas isso não acrescenta proteção e a documentação registra uma ressalva de compatibilidade com server-side apply.
Criar configuração: comandos rápidos e manifests reproduzíveis
Para exploração e desenvolvimento, comandos imperativos são convenientes. Estes exemplos criam objetos a partir de um arquivo ou de um valor literal, sempre no namespace indicado:
-
kubectl create configmap app-settings --from-file=app.properties -n staging -
kubectl create configmap app-flags --from-literal=LOG_LEVEL=info -n staging -
kubectl create secret generic app-credentials --from-file=credentials.txt -n staging
O exemplo de Secret mostra apenas a sintaxe: não coloque credenciais reais em argumentos de linha de comando, histórico do shell, logs ou arquivos versionados sem controles apropriados. Quem consegue ler o recurso pode obter seus valores; não imprima conteúdo de Secrets em comandos de inspeção compartilhados.
Para produção, mantenha manifests revisados e versionados e aplique-os com kubectl apply, por exemplo: kubectl apply -f ./manifests/. Isso torna as alterações mais reproduzíveis e auditáveis do que depender apenas de comandos imperativos digitados manualmente. A documentação oficial do kubectl recomenda o fluxo declarativo para cargas de produção; a página Managing Kubernetes Objects Using Imperative Commands trata dos comandos imperativos e de seu uso em desenvolvimento e experimentação. A gestão do material secreto precisa ainda respeitar os controles e políticas do cluster. Kustomize é uma opção integrada ao kubectl para compor configurações declarativas, inclusive ConfigMaps e Secrets.
O que Secrets protegem — e o que é preciso configurar
Um Secret é o tipo apropriado para credenciais, mas sua existência não significa que os dados estejam protegidos contra leitura ou criptografados em repouso. A documentação oficial afirma: “Kubernetes Secrets are, by default, stored unencrypted in the API server’s underlying data store (etcd).” Em outras palavras, o armazenamento padrão no etcd não é criptografado.
Para reduzir o risco, a documentação recomenda habilitar criptografia em repouso, limitar permissões com RBAC de menor privilégio, restringir cada Secret aos containers que realmente precisam dele e avaliar provedores externos de armazenamento de Secrets. Há ainda um risco de autorização indireta: alguém autorizado a criar um Pod em um namespace pode usar essa permissão para ler Secrets daquele namespace, inclusive criando um Deployment que os consuma.
Por isso, proteja tanto o acesso direto à API quanto a permissão de criar ou modificar workloads. O nome do Secret e seus metadados bastam para confirmar sua existência em uma listagem; evite exibir valores durante inspeções rotineiras.
Quick wins for a faster PC:
Clear out junk files and repair common Windows errorsFree Scan →Scan for outdated or missing drivers - takes under a minuteDriver Scan →Alterar configuração não garante atualização imediata do aplicativo
O efeito de uma mudança depende de como o Pod consome os dados. Um Secret montado como volume pode ser atualizado com atraso, conforme a estratégia de cache e detecção do kubelet. Um volume montado usando subPath não recebe atualizações automatizadas. Já uma variável de ambiente de um processo em execução não muda apenas porque o objeto Secret foi alterado.
Para rotação de credenciais, confirme se a aplicação consegue recarregar o dado e se o workload precisa ser reiniciado. O procedimento correto depende da arquitetura e do modo de consumo; não presuma que a alteração do objeto, sozinha, atualize o processo.
Verificações antes de aplicar uma mudança
-
Alvo: o contexto atual corresponde ao cluster pretendido?
-
Escopo: o comando usa o namespace certo ou, quando aplicável, trata-se de um recurso de escopo do cluster?
Special offer. See more information about Outbyte and uninstall instructions. Please review EULA and Privacy policy. -
Confidencialidade: dados não sensíveis estão em ConfigMap; credenciais estão em Secret com controles de acesso apropriados?
-
Revisão: em produção, o manifest foi revisado e versionado antes de
kubectl apply? -
Consumo e rotação: a aplicação lê o dado como ambiente ou volume, e qual ação é necessária para receber uma credencial atualizada?
Quick Recap
SaleBestseller No. 1Bestseller No. 4
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
Recommended Free Tools
