Секретное хранилище в JupyterHub или Helm?(Работает на кубернец на AWS EKS)

Question

У меня JupyterHub работает в кластере kubernetes в AWS EKS (управляемый kubernetes в AWS).

Мне нужно знать, есть ли способ сохранить или настроить секретный секрет, к которому можно получить доступ во времязапуск экземпляра сервера ноутбука, но только процессами сервера.Он никогда не должен быть доступен ни обычным пользователям, ни злонамеренным пользователям.

В частности, у меня есть собственный шаг postStart, настроенный в моей таблице управления:

proxy:
  # ...

auth
  # ...

singleuser:
  image:
    # ...
  lifecycleHooks:
    postStart:
      exec:
        command: ["/bin/sh", "-c", "custom-program -password abcdefg12345"] # <-- THIS. 

Как безопасно хранитьмой пароль, например, abcdefg12345 выше, чтобы он никогда никогда не был доступен для любых пользователей кластера JupyterHub?(Кроме администраторов)

Будет ли это безопасно в файле конфигурации рулевого управления?Где helm хранит команду postStart lifecycleHook?

Answer 1

Kubernetes имеет концепцию Secrets и позволяет настроить для них управление доступом на основе ролей (RBAC). Для Pod, на котором работает ваш сервер, вам нужно создать ServiceAccount.