本期焦点
别只看控制器绿灯：4 步验证机密轮换真正完成，确保新版本被消费
别只看控制器绿灯：4 步验证机密轮换真正完成，确保新版本被消费 证明机密轮换真正完成，需验证外部源生成新版本、分发层同步、工作负载消费新密钥且旧版本失效删除的完整闭环。 为什么盯着控制器状态看是种错觉？ 仅查看控制器状态是错觉，因为面板无法显示业务是否切换至新密钥以及旧版本是否仍在被调用的关键事实。 很多团队在配置完 CSI 驱动或 cert-manager 后，看到同步成功的提示灯亮起，就默认…
展开主题导航
标签：Kubernetes
围绕该主题整理可核验的规范依据、实现行为与工程验证记录。
收录边界聚焦与 标签：Kubernetes 直接相关的生命周期控制、版本差异和验证方法。
排除原则不收录无法核验的营销判断、攻击利用步骤与缺少证据边界的结论。
资料台账
区分规范事实与工程判断
工程资料
K8s 不可变 Secret 无法原地修改？用“新建 + 切换”四步搞定旧数据清理
K8s 不可变 Secret 无法原地修改？用“新建 + 切换”四步搞定旧数据清理 不可变 Secret 轮换旧数据需通过发布新对象、切换引用、保留重叠窗口并主动清理旧凭据，而非原位修改。 为什么无法原位修改？理解 API 限制与轮换冲突 API 限制将 immutable 字段设为 true 后彻底锁定 Secret 数据内容，导致任何直接修改操作均被拒绝。 当你尝试直接修改一个标记为 imm…
工程资料
只开 requiresRepublish 没用？Secrets Store CSI 自动轮换还得加这个参数
只开 requiresRepublish 没用？Secrets Store CSI 自动轮换还得加这个参数 Secrets Store CSI Driver 实现自动轮换需同时满足驱动版本不低于 v1.6.0、CSIDriver 开启 requiresRepublish 字段，且 DaemonSet 显式启用 –enable-secret-rotation=true 参数。 只把 C…
工程资料
环境变量更新必须重启容器？揭秘 CSI 挂载与变量注入的生效差异
环境变量更新必须重启容器？揭秘 CSI 挂载与变量注入的生效差异 环境变量注入的 Secret 变更必须重启容器或执行滚动升级才能生效，而 CSI 挂载的文件支持热更新，两者在生效机制上存在本质差异。 核心结论：为什么环境变量更新必须重启容器？ Kubernetes 容器启动时一次性加载环境变量，导致运行时无法动态感知 Secret 变更，因此必须通过重启或滚动升级强制重新注入新值。 很多运维同…