Cấu hình Kubernetes, secret, ingress và RBAC

ConfigMap giữ config không mật, Secret mang sensitive value cần xử lý cẩn thận, Ingress route external HTTP traffic và RBAC chỉ cấp Kubernetes API action identity cần.

Nhìn nhanh

Câu hỏi	Câu trả lời thực tế
Dùng khi nào?	Web workload đọc feature flag public từ ConfigMap, nhận credential qua Secret reference, expose bằng TLS Ingress và chạy dưới ServiceAccount hạn chế.
Cần làm gì?	Deploy sample namespace với least-privilege RBAC, reference config mà không bake vào image rồi test một action được phép và một action bị deny.
Biết là đúng bằng cách nào?	App nhận đúng config, credential không có trong source hay image history, TLS hoạt động và API action bị deny trả forbidden.
Lỗi hay gặp?	Base64 không phải encryption; giới hạn Secret access, dùng encryption at rest và external secret manager khi risk yêu cầu.

flowchart LR
  A[Câu hỏi] --> B[Cấu hình Kubernetes, secret, ingress và RB]
  B --> C[Ví dụ nhỏ]
  C --> D[Bằng chứng]

Điểm quan trọng của sơ đồ là không dừng ở định nghĩa: hãy nối khái niệm với một ví dụ nhỏ và bằng chứng có thể quan sát.

Ví dụ đã phân tích

Web workload đọc feature flag public từ ConfigMap, nhận credential qua Secret reference, expose bằng TLS Ingress và chạy dưới ServiceAccount hạn chế.

Trước khi làm, hãy viết dấu hiệu thành công. Sau đó chỉ thay đổi một yếu tố, quan sát kết quả và ghi lại assumption. Với Cấu hình Kubernetes, secret, ingress và RBAC, cách này giúp tách điều bạn biết khỏi điều bạn chỉ đang đoán.

Thực hành trong 20–30 phút

Mục tiêu: Deploy sample namespace với least-privilege RBAC, reference config mà không bake vào image rồi test một action được phép và một action bị deny.

1. Ghi lại trạng thái ban đầu và điều bạn dự đoán.
2. Thực hiện phiên bản nhỏ nhất, không thêm công cụ chưa cần thiết.
3. Thay đổi đúng một input hoặc constraint rồi chạy lại.
4. Lưu command, screenshot, output hoặc checklist làm bằng chứng.

Kết quả mong đợi: App nhận đúng config, credential không có trong source hay image history, TLS hoạt động và API action bị deny trả forbidden.

Sai ở đâu và sửa thế nào

Base64 không phải encryption; giới hạn Secret access, dùng encryption at rest và external secret manager khi risk yêu cầu.

Khi kết quả khác dự đoán, đừng đổi nhiều thứ cùng lúc. Kiểm tra input, version, environment, quyền truy cập và log trước; sau đó lặp lại từ ví dụ nhỏ nhất.

Định nghĩa hoàn thành

• Tôi giải thích được khái niệm bằng ngôn ngữ của mình.
• Tôi đã hoàn thành ví dụ nhỏ và giữ bằng chứng.
• Tôi biết một failure mode và cách kiểm tra nó.
• Người khác có thể làm lại mà không phải đoán bước còn thiếu.

Đi sâu hơn

Mở resource hoặc repository đi kèm ở cuối trang khi bạn cần implementation đầy đủ. Hãy kiểm tra version hiện hành trước khi dùng command trong dự án thật.