Kubernetes Secret/ConfigMap 分割方案 - 安全分析报告

执行概要

本报告分析了 34 个微服务的配置文件（application.yml），识别敏感信息并提供 Kubernetes Secret 和 ConfigMap 的分割方案。

关键发现

分析的服务总数: 34
包含敏感信息的服务: 34 (100%)
需要创建 Secret 的服务: 34
检测到的敏感信息类型: 7 种

一、敏感信息分类统计

1.1 按信息类型分类统计

敏感信息类型	包含此类型的服务数	占比
database_host	34	100%
database_password	34	100%
database_username	33	97%
wechat_app_secret	8	24%
wechat_app_id	7	21%
api_key	9	26%
token	1	3%

1.2 分析说明

数据库连接信息 (host, username, password): 所有服务都需要数据库连接，100% 的服务包含这类敏感信息
WeChat 集成: 8 个服务使用微信 API，需要保护 app-id 和 app-secret
第三方 API 密钥: 9 个服务包含各类 API 密钥
Token: 仅 1 个服务（shop-recycle-wechat-web）包含 token

二、每个微服务的详细分析

服务分类（按敏感信息复杂度）

类别 1: 仅数据库连接信息（15 个服务）

这些服务只包含数据库相关的敏感信息，相对简单。

1. shop-recycle-account
   敏感类型: database_username, database_password, database_host
   字段数: 6

2. shop-recycle-agent-pc-web
   敏感类型: database_username, database_password, database_host
   字段数: 5

3. shop-recycle-async-web
   敏感类型: database_username, database_password, database_host
   字段数: 5

4. shop-recycle-customer-wechat-web
   敏感类型: database_username, database_password, database_host
   字段数: 5

5. shop-recycle-data-statistics
   敏感类型: database_username, database_password, database_host
   字段数: 5

6. shop-recycle-dealdata-service
   敏感类型: database_username, database_password, database_host
   字段数: 5

7. shop-recycle-dispatcher
   敏感类型: database_username, database_password, database_host
   字段数: 6

8. shop-recycle-erp-pc-web
   敏感类型: database_username, database_password, database_host
   字段数: 5

9. shop-recycle-login-center
   敏感类型: database_username, database_password, database_host
   字段数: 4

10. shop-recycle-marketer-pc-web
    敏感类型: database_username, database_password, database_host
    字段数: 5

11. shop-recycle-order-search
    敏感类型: database_username, database_password, database_host
    字段数: 6

12. shop-recycle-pis
    敏感类型: database_username, database_password, database_host
    字段数: 5

13. shop-recycle-store
    敏感类型: database_username, database_password, database_host
    字段数: 6

14. shop-recycle-wechat
    敏感类型: database_username, database_password, database_host
    字段数: 5

15. shop-recycle-ws-web
    敏感类型: database_username, database_password, database_host
    字段数: 5

类别 2: 数据库 + 单一类型额外敏感信息（13 个服务）

2A. 数据库 + API 密钥

1. shop-recycle-import-web
   敏感类型: database_username, database_password, api_key, database_host
   字段数: 5 (secretKey)

2. shop-recycle-merchant-pc-web
   敏感类型: database_username, database_password, api_key, database_host
   字段数: 6

3. shop-recycle-oss-web
   敏感类型: database_username, database_password, api_key, database_host
   字段数: 5 (secretKey)

4. shop-recycle-platform-pc-web
   敏感类型: database_username, database_password, api_key, database_host
   字段数: 7

2B. 数据库 + WeChat App ID

1. shop-recycle-payment
   敏感类型: database_username, database_password, database_host, wechat_app_id
   字段数: 8

2. shop-recycle-payment-web
   敏感类型: database_username, database_password, database_host, wechat_app_id
   字段数: 11 (多个微信 App ID: wechat-ssm-app-id, wechat-sub-app-id, 
                              wechat-js-app-id, wechat-small-app-id)

3. shop-recycle-sche
   敏感类型: database_username, database_password, database_host, wechat_app_id
   字段数: 6

2C. 只有数据库密码和主机（特殊案例）

1. shop-recycle-gateway
   敏感类型: database_password, database_host
   字段数: 2
   注: 没有数据库用户名

2D. 数据库 + WeChat App ID + Username

1. shop-recycle-gateway-out
   敏感类型: database_username, database_password, database_host
   字段数: 4

类别 3: 复杂集成（6 个服务 - 包含微信、API密钥等）

1. shop-recycle-gateway-out-upgrade
   敏感类型: wechat_app_secret, database_password, api_key, 
            database_username, database_host
   字段数: 6
   敏感字段: server, password, url, username, key, secret

2. shop-recycle-merchant-wechat-web
   敏感类型: wechat_app_secret, database_password, api_key, 
            database_username, database_host
   字段数: 8
   敏感字段: server, password, host, username, key, AppSecret, url, userName

3. shop-recycle-order-center
   敏感类型: wechat_app_secret, database_password, api_key, 
            database_username, database_host, wechat_app_id
   字段数: 9 (含 appid, appsecret, secretKey)

4. shop-recycle-out-web
   敏感类型: wechat_app_secret, database_password, database_username, 
            database_host, wechat_app_id
   字段数: 6
   敏感字段: server, password, host, username, app-id, app-secret

5. shop-recycle-platform
   敏感类型: wechat_app_secret, database_password, database_username, 
            database_host, wechat_app_id
   字段数: 7

6. shop-recycle-store-pc-web
   敏感类型: wechat_app_secret, database_password, api_key, 
            database_username, database_host
   字段数: 8

7. shop-recycle-store-wechat-web
   敏感类型: wechat_app_secret, database_password, api_key, 
            database_username, database_host
   字段数: 8

8. shop-recycle-wechat-web
   敏感类型: wechat_app_secret, database_password, token, 
            database_username, database_host, wechat_app_id
   字段数: 7 (唯一包含 token 的服务)

三、推荐的 Secret 和 ConfigMap 分割方案

3.1 分割原则

所有敏感信息放入 Secret - 包括所有密码、密钥、令牌等
非敏感配置放入 ConfigMap - 包括服务器地址（如果是静态的）、端口等
按服务创建单独的 Secret - 便于权限控制和更新管理
按功能分类创建 Secret - 可选的高级方案

3.2 方案 A：简单方案（推荐用于快速部署）

为每个服务创建一个 Secret，包含所有敏感信息

# 示例：shop-recycle-payment-web-secret.yaml
apiVersion: v1
kind: Secret
metadata:
  name: shop-recycle-payment-web-secret
  namespace: production
type: Opaque
stringData:
  # Database
  spring.datasource.url: "jdbc:mysql://db-host:3306/db_name"
  spring.datasource.username: "${DB_USERNAME}"
  spring.datasource.password: "${DB_PASSWORD}"
  
  # WeChat Configuration
  spring.wechat.ssm.app-id: "${WECHAT_SSM_APP_ID}"
  spring.wechat.sub.app-id: "${WECHAT_SUB_APP_ID}"
  spring.wechat.js.app-id: "${WECHAT_JS_APP_ID}"
  spring.wechat.small.app-id: "${WECHAT_SMALL_APP_ID}"
  
---
# shop-recycle-payment-web-configmap.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: shop-recycle-payment-web-configmap
  namespace: production
data:
  spring.datasource.driver-class-name: "com.mysql.cj.jdbc.Driver"
  spring.datasource.hikari.pool-size: "10"
  # 非敏感的应用配置

3.3 方案 B：功能分类方案（推荐用于大规模部署）

根据服务类型和功能分类创建 Secret：

B1: 数据库 Secret（所有 34 个服务共用或分组）

apiVersion: v1
kind: Secret
metadata:
  name: database-credentials
  namespace: production
type: Opaque
stringData:
  # 主数据库
  primary-username: "app_user"
  primary-password: "encrypted_password"
  primary-host: "mysql-master.internal:3306"
  
  # 也可为不同服务分组创建不同的 database secret
  # 例如：shop-recycle-payment-db-secret

B2: WeChat API Secret（8 个服务）

apiVersion: v1
kind: Secret
metadata:
  name: wechat-api-credentials
  namespace: production
type: Opaque
stringData:
  payment-app-id: "${WECHAT_PAYMENT_APP_ID}"
  payment-app-secret: "${WECHAT_PAYMENT_APP_SECRET}"
  platform-app-id: "${WECHAT_PLATFORM_APP_ID}"
  platform-app-secret: "${WECHAT_PLATFORM_APP_SECRET}"
  merchant-app-id: "${WECHAT_MERCHANT_APP_ID}"
  merchant-app-secret: "${WECHAT_MERCHANT_APP_SECRET}"
  # ... 其他微信 App

B3: API 密钥 Secret（9 个服务）

apiVersion: v1
kind: Secret
metadata:
  name: api-keys-secret
  namespace: production
type: Opaque
stringData:
  import-web-secret-key: "${IMPORT_WEB_SECRET_KEY}"
  merchant-pc-web-key: "${MERCHANT_PC_WEB_KEY}"
  oss-web-secret-key: "${OSS_WEB_SECRET_KEY}"
  # ... 其他 API 密钥

B4: Token Secret（1 个服务）

apiVersion: v1
kind: Secret
metadata:
  name: wechat-web-token
  namespace: production
type: Opaque
stringData:
  access-token: "${WECHAT_WEB_TOKEN}"

3.4 方案 C：完整集成方案（推荐用于生产环境）

结合服务特性创建分层 Secret：

Layer 1: 通用 Secret
├── database-base-secret (所有数据库连接信息)
├── common-api-keys-secret (通用 API 密钥)
└── infrastructure-secret (基础设施相关密钥)

Layer 2: 功能模块 Secret
├── payment-module-secret (支付相关：支付、订单等)
├── merchant-module-secret (商户相关：商户、门店等)
├── wechat-module-secret (微信相关：微信、客户等)
└── admin-module-secret (后台相关：管理等)

Layer 3: 服务特定 Secret (可选)
└── service-specific-secret (特定服务独有的敏感信息)

四、具体实施步骤

4.1 第一步：生成所有 Secret 和 ConfigMap

使用生成脚本为每个服务创建对应的 Secret 和 ConfigMap：

# 脚本位置
d:\coding-area\devops\helm\generate-secrets.ps1

# 执行脚本
powershell -ExecutionPolicy Bypass -File generate-secrets.ps1

4.2 第二步：应用到 Kubernetes

# 应用所有 Secret
kubectl apply -f secrets/

# 应用所有 ConfigMap
kubectl apply -f configmaps/

# 验证
kubectl get secrets -n production
kubectl get configmaps -n production

4.3 第三步：更新 Deployment 配置

在 Helm values.yaml 或 Deployment 中引用 Secret 和 ConfigMap：

# Deployment 示例
apiVersion: apps/v1
kind: Deployment
metadata:
  name: shop-recycle-payment-web
spec:
  template:
    spec:
      containers:
      - name: payment-web
        env:
        # 从 Secret 读取敏感信息
        - name: SPRING_DATASOURCE_PASSWORD
          valueFrom:
            secretKeyRef:
              name: shop-recycle-payment-web-secret
              key: spring.datasource.password
        - name: WECHAT_SSM_APP_ID
          valueFrom:
            secretKeyRef:
              name: shop-recycle-payment-web-secret
              key: spring.wechat.ssm.app-id
        
        envFrom:
        # 从 ConfigMap 读取非敏感配置
        - configMapRef:
            name: shop-recycle-payment-web-configmap

五、安全建议

5.1 访问控制

# 创建 RBAC 角色限制对 Secret 的访问
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: secret-reader
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list"]
  resourceNames: 
  - "shop-recycle-payment-web-secret"
  # 只允许访问特定的 Secret

5.2 加密存储

# 启用 etcd 加密（需要在 kube-apiserver 配置中）
--encryption-provider-config=/etc/kubernetes/encryption.yaml

5.3 定期审计

# 审计 Secret 访问
kubectl get events -n production | grep secret

# 检查 Secret 变更历史
kubectl rollout history deployment/shop-recycle-payment-web -n production

5.4 Secret 轮换策略

数据库密码：每 90 天轮换一次
API 密钥：每 180 天轮换一次
WeChat 证书：定期更新（按官方要求）
Token：定期刷新

六、按服务分类的 Secret 配置

6.1 类型 1：仅需数据库 Secret 的服务

服务名	敏感信息数量	优先级
shop-recycle-account	6	高
shop-recycle-agent-pc-web	5	中
shop-recycle-async-web	5	中
shop-recycle-customer-wechat-web	5	中
shop-recycle-data-statistics	5	低
shop-recycle-dealdata-service	5	中
shop-recycle-dispatcher	6	高
shop-recycle-erp-pc-web	5	高
shop-recycle-login-center	4	高
shop-recycle-marketer-pc-web	5	中
shop-recycle-order-search	6	中
shop-recycle-pis	5	低
shop-recycle-store	6	中
shop-recycle-wechat	5	中
shop-recycle-ws-web	5	低

推荐方案: 创建一个共享的 database-credentials-secret + 服务特定的 Secret

6.2 类型 2：需要 WeChat API 的服务（8 个）

服务名	包含信息	WeChat 类型
shop-recycle-gateway-out-upgrade	app_secret	通用
shop-recycle-merchant-wechat-web	app_id + secret	通用
shop-recycle-order-center	app_id + secret	通用
shop-recycle-out-web	app_id + secret	通用
shop-recycle-payment	app_id	支付特定
shop-recycle-payment-web	多个 app_id	支付特定
shop-recycle-platform	app_id + secret	平台
shop-recycle-store-pc-web	app_secret	商城
shop-recycle-store-wechat-web	app_secret	商城
shop-recycle-wechat-web	app_id + secret + token	通用

推荐方案: 创建 wechat-api-credentials-secret

6.3 类型 3：需要 API 密钥的服务（9 个）

服务名	密钥字段	用途
shop-recycle-import-web	secretKey	导入相关
shop-recycle-merchant-pc-web	key	商户平台
shop-recycle-oss-web	secretKey	对象存储
shop-recycle-platform-pc-web	key	平台管理
shop-recycle-gateway-out-upgrade	key	网关
shop-recycle-merchant-wechat-web	key	微信商户
shop-recycle-order-center	secretKey	订单服务
shop-recycle-store-pc-web	key	门店管理
shop-recycle-store-wechat-web	key	微信门店

推荐方案: 创建 api-keys-secret

七、迁移计划

第一阶段：准备（第 1 周）

审查当前配置文件
测试 Secret 生成脚本
建立 Secret 命名约定
准备加密密钥

第二阶段：开发环境（第 2 周）

在开发环境部署 Secret
测试应用能否正确读取 Secret
验证配置热更新功能

第三阶段：预生产环境（第 3-4 周）

在预生产环境部署
进行完整的功能测试
测试故障恢复场景

第四阶段：生产环境（第 5-6 周）

灰度发布（先 5% 服务）
监控和日志收集
逐步增加到 100%

八、总结表

按优先级排序的 Secret 创建计划

优先级	服务数	服务列表	创建方案
P0 (关键)	5	account, dispatcher, erp-pc-web, login-center, payment-web	单独 Secret
P1 (高)	14	其他数据库相关服务 + WeChat 集成	数据库 Secret + 功能模块 Secret
P2 (中)	11	API 相关服务	API 密钥 Secret
P3 (低)	4	数据统计、PIS、OSS、WS	共享 Secret

附录：生成脚本使用说明

生成的文件存放在：

d:\coding-area\devops\helm\
├── secrets/
│   ├── shop-recycle-account-secret.yaml
│   ├── shop-recycle-payment-web-secret.yaml
│   └── ... (34 个服务的 Secret)
├── configmaps/
│   ├── shop-recycle-account-configmap.yaml
│   ├── shop-recycle-payment-web-configmap.yaml
│   └── ... (34 个服务的 ConfigMap)
└── config-analysis-report.json

详细的 JSON 分析结果保存在 config-analysis-report.json，包含每个服务的完整敏感信息列表。

报告生成信息

生成日期: 2026-01-16
分析工具: PowerShell 安全分析脚本
环境: Kubernetes 部署前的配置安全审计
报告版本: 1.0

SECURITY_ANALYSIS_REPORT.md 16 KB Histórico Raw