> **摘要**：某企业几十个微服务迁上 Kubernetes 后，发现数据库密码散落在各个 Secret 和 ConfigMap 里，base64 明文可还原、无法统一轮转、读取无审计。本文记录他们如何引入凭据管理系统（SMS），用动态临时凭据 + 自动轮转，配合 Sidecar 集成，把凭据治理彻底收口的全过程。

![K8S 凭据动态注入架构]()

## 背景：上云之后，密码更乱了

这家企业把几十个微服务从虚拟机搬到了 Kubernetes，本以为运维会更规范，结果凭据管理反而失控了：

- 每个服务的数据库密码各写各的 Secret，几十份分散管理；
- 有的图省事直接写进 ConfigMap 甚至 Deployment 环境变量；
- base64 编码被当成"加密"，运维随手就能解出明文；
- 想统一换一次密码，得改一堆 YAML、重启一堆 Pod，没人敢动；
- 安全团队问"上周谁读了订单库密码"，没人答得上来。

等保测评时，硬编码凭据和缺失审计直接被列为高危。

## 症结：K8S 只管分发，不管治理

复盘后团队意识到，K8S Secret 解决的只是"密码怎么传给 Pod"，而凭据真正的生命周期——**加密存储、轮转、审计、销毁**——K8S 压根没管。

```
问题本质：
  凭据的存储/轮转/审计散落在 K8S 之外，
  没有统一治理面。
```

## 方案：把凭据下沉到专用系统

团队引入了一套独立的凭据管理系统（SMS），思路是让 K8S 回归调度本职，凭据治理全部交给 SMS。落地时重点用了两个能力：

**能力一：动态临时凭据。** 业务 Pod 不再持有真实密码，而是运行时向 SMS 申请一个带 TTL（如 1 小时）的临时凭据，用完即毁。密码不进 YAML、不落 etcd。

**能力二：自动轮转。** 数据库真实密码由 SMS 按周期（≤90 天）自动更换，配合新旧双写过渡期，业务 Pod 全程无感知，彻底告别"改密码要重启全集群"。

![原生 Secret 与动态凭据对比]()

## 集成：为什么选 Sidecar 模式

K8S 接入 SMS 有四种主流方式，团队做了对比：

| 方式 | 业务改造 | 支持轮转刷新 | 结论 |
|------|---------|-------------|------|
| Init Container | 零 | 否 | 长运行服务拿不到新凭据，弃用 |
| Sidecar | 零 | 是 | ✅ 选它 |
| CSI Driver | 零 | 是 | 需平台改造，二期再上 |
| SDK 直连 | 少量 | 是 | 新服务逐步接入 |

由于绝大多数是常驻的微服务，需要感知密码轮转，团队选择了 **Sidecar 模式**：给每个 Pod 注入一个伴生容器，定时向 SMS 刷新凭据写入内存卷，业务容器只读文件，代码零改造。

```yaml
containers:
  - name: app
    image: registry/order-service:1.0
    volumeMounts:
      - { name: creds, mountPath: /creds, readOnly: true }
  - name: sms-sidecar
    image: registry/sms-agent:latest
    args: ["watch", "--id=order-db", "--out=/creds/db.json", "--interval=300"]
    volumeMounts:
      - { name: creds, mountPath: /creds }
```

## 关键设计：用 ServiceAccount 鉴权

最容易被忽视的一点：Pod 凭什么能取凭据？团队没有再发一个静态 token（那等于"密码换密码"），而是用 **K8S ServiceAccount** 做身份鉴权：

1. Pod 挂载自己的 SA Token；
2. sidecar 拿 SA Token 向 SMS 换短时会话；
3. SMS 校验"命名空间 + SA 名"命中授权策略，才签发临时凭据；
4. 每次签发写审计日志：哪个 Pod、取了哪个库、什么时间。

做到"一个命名空间只能取自己的凭据"，且行为全程可追溯。

## 落地效果

- YAML 和 ConfigMap 里的明文密码全部清零；
- 密码轮转从"重启全集群"变成"后台自动完成，业务无感知"；
- 每一次凭据读取都有审计记录，泄露可秒级定位；
- 等保测评中硬编码和审计缺失项全部整改通过。

## 小结

容器化不等于安全化。K8S 擅长调度，但凭据治理需要专门的系统来兜底。把凭据的存储、轮转、审计下沉到 SMS，让 Pod 只在运行时拿到"用完即毁"的临时凭据，才是微服务上云后凭据治理的正解。

摘要：某企业几十个微服务迁上 Kubernetes 后，发现数据库密码散落在各个 Secret 和 ConfigMap 里，base64 明文可还原、无法统一轮转、读取无审计。本文记录他们如何引入凭据管理系统（SMS），用动态临时凭据 + 自动轮转，配合 Sidecar 集成，把凭据治理彻底收口的全过程。

一次微服务上云的凭据治理实践：让密码不再躺在 K8S Secret 里

Kubernetes Secret 默认只是 base64 编码而非加密，密码散落 etcd 与 Git 仓库。本文结合安当 SMS 凭据管理系统，拆解 Init Container、Sidecar、CSI Driver、SDK 四种集成方案，实现动态临时凭据与自动轮转，让密码不进 YAML、不落 etcd、可审计。

云计算

后端

安全

企业微服务上云后，K8S凭据管理混乱问题突出。本文介绍如何通过引入凭据管理系统（SMS），采用动态临时凭据+自动轮转机制，结合Sidecar模式实现零改造集成，解决密码分散、明文存储、轮转困难等痛点，最终实现凭据统一治理、自动轮转和完整审计，满足等保合规要求。

凭据管理系统

代码解释

Kubernetes

数据库

虚拟机

容器

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

一次微服务上云的凭据治理实践：让密码不再躺在 K8S Secret 里-腾讯云开发者社区-腾讯云

一次微服务上云的凭据治理实践：让密码不再躺在 K8S Secret 里

一次微服务上云的凭据治理实践：让密码不再躺在 K8S Secret 里

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐