文档中心

容器服务

请输入

配置管理

创建保密字典

保密字典（Secret）是一种加密存储的资源对象，用户可以将认证信息、证书、私钥等保存在保密字典中，而不需要把这些敏感数据暴露到镜像或者 Pod 定义中，从而更加安全和灵活。

操作步骤

通过控制台创建

通过 YAML 创建

登录容器服务控制台。

单击左侧导航栏中的集群。

在集群列表页面，单击需要配置的目标集群。

在集群管理页面的左侧导航栏中，选择配置 > 保密字典，单击创建保密字典，配置保密字典。

参数	说明
名称	根据系统提示，配置保密字典的名称。在同一个命名空间下，名称必须唯一。
命名空间	选择保密字典所属的命名空间。建议选择您自定义的命名空间，或系统默认创建的 default 命名空间。命名空间相关介绍，请参见命名空间概述。
类型	配置保密字典的类型：密钥（Opaque）：一般密钥类型。您还需要设置配置内容，可通过如下两种方式中任意一种，设置密钥的配置内容：添加键值对：设置保密字典的密钥名称（键）和值。支持添加多个键值对，值支持为空，不做校验。上传本地文件：上传本地的密钥配置文件。支持上传多个文件。注意出于安全控制，不支持通过控制台上传二进制文本。如必须使用二进制文本，建议通过 kubectl 命令上传文件。kubectl 命令，请参见 Kubernetes 官方文档。仓库密钥（Dockerconfigjson）：存放拉取私有镜像仓库镜像所需的认证信息。您还需要配置如下信息：仓库域名：私有镜像仓库的域名，例如cr-**-cn-beijing.cr.volces.com/demo/**。用户名：私有镜像仓库的登录用户名。密码：私有镜像仓库的登录密码。证书（TLS）：存放负载均衡服务所需的证书。您还需要配置如下信息：上传证书：上传 TLS 证书文件，限上传 1 个。上传密钥：上传 TLS 文件的密钥文件，限上传 1 个。注意保密字典创建成功后，不支持修改类型。
标签	可选参数。对应 Kubernetes 中的 Labels，用于指定该保密字典的标识属性。单击添加标签，根据界面提示输入符合要求的键和值。
注解	可选参数。对应 Kubernetes 中的 Annotations，用于为保密字典附加任意非标识的元数据，包括标签不允许的字符，方便客户端能够检索此元数据。单击添加注解，根据界面提示输入符合要求的键和值。

单击确定，完成配置。

说明

通过 kubectl 命令行创建无状态负载前请确保：

已安装 kubectl 工具到本地。具体操作说明，请参见安装和设置 kubectl。

已通过 kubectl 连接目标集群。具体操作说明，请参见连接集群。

创建密钥 Secret 的 YAML 文件。

说明

YAML 中多处参数值需要进行 Base64 编码。Base64 编码方法请参见 FAQ。

密钥（Opaque）类型 Secret 示例 YAML 文件代码如下：

apiVersion: v1
kind: Secret
metadata:
name: secret-demo-opaque # Secret 名称。
namespace: default # Secret 所属命名空间。
data:
<your_key1>: <your_value1> # 密钥键值对，其中 value 需要用 Base64 编码。
<your_key1>: <your_value1> # 密钥键值对，其中 value 需要用 Base64 编码。
type: Opaque # Secret 类型。

仓库密钥（Dockerconfigjson）类型 Secret 示例 YAML 文件代码如下：

说明

下文假设，仓库域名：example.com/demo/v1、仓库用户名：user1、密码：acbd1234。您需要先对user1:abcd1234进行 Base64 编码，作为 Dockerconfigjson 中的auth值。Base64 编码方法请参见 FAQ。

apiVersion: v1
kind: Secret
metadata:
name: secret-demo-dockerconf # Secret 名称。
namespace: default # Secret 所属命名空间。
type: kubernetes.io/dockerconfigjson # Secret 类型。
stringData: # Dockerconfigjson 的具体认证信息内容。
.dockerconfigjson: |
{
"auths": {
"example.com/demo/v1": { # 仓库域名。
"username": "user1", # 仓库用户名。
"password": "abcd1234", # 密码。
"auth": "dXNlcjE6YWJjZDEyMzQ=" # "user1:abcd1234" 进行 Base64 编码后的内容。
}
}
}

证书（TLS）类型 Secret 示例 YAML 文件代码如下：

kind: Secret
apiVersion: v1
metadata:
name: secret-demo-tls # Secret 名称。
namespace: default # Secret 所属命名空间。
data:
tls.crt: ABC***** # 证书内容，需要用 Base64 编码。
tls.key: ABC***** # 私钥内容，需要用 Base64 编码。
type: kubernetes.io/tls # Secret 类型。

执行以下命令，创建 Secret。

kubectl apply -f ${your_yaml_name}.yaml
## 替换 ${your_yaml_name} 为实际 YAML 文件名，完整示例如下：
## kubectl apply -f secret-demo.yaml

查看已创建的 Secret。

kubectl get secret -n default

预期返回结果如下：

NAME TYPE DATA AGE
1867e4e41c96**** Opaque 4 21d
190cf1c92349**** Opaque 4 20h

操作结果

完成操作后支持在保密字典列表，选择目标命名空间后查看已创建的保密字典。

最近更新时间：2026.07.16 16:04:53

这个页面对您有帮助吗？

有用

无用