# 명령어로 직접 생성
kubectl create configmap app-config \
  --from-literal=APP_ENV=production \
  --from-literal=APP_PORT=8080 \
  --from-literal=LOG_LEVEL=info \
  -n config-lab

# 파일에서 생성 (설정 파일을 통째로 ConfigMap에 저장)
kubectl create configmap nginx-config \
  --from-file=nginx.conf \
  -n config-lab

# ConfigMap 확인
kubectl get configmap app-config -n config-lab -o yaml

# configmap.yaml — YAML로 직접 정의
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
  namespace: config-lab
data:
  APP_ENV: "production"
  APP_PORT: "8080"
  LOG_LEVEL: "info"
  # 여러 줄 설정 파일도 저장 가능
  app.properties: |
    server.port=8080
    spring.datasource.url=jdbc:postgresql://postgres:5432/mydb
    logging.level.root=INFO

# deployment-volume.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app-vol
  namespace: config-lab
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app-vol
  template:
    metadata:
      labels:
        app: my-app-vol
    spec:
      volumes:
        - name: config-volume
          configMap:
            name: app-config    # ConfigMap을 볼륨으로 변환
      containers:
        - name: app
          image: busybox
          command: ["sh", "-c", "ls /etc/config && cat /etc/config/APP_ENV && sleep 3600"]
          volumeMounts:
            - name: config-volume
              mountPath: /etc/config    # 이 경로에 ConfigMap key가 파일로 생성됨

kubectl apply -f deployment-volume.yaml

# 마운트된 파일 확인
kubectl exec -it $(kubectl get pod -n config-lab -l app=my-app-vol -o name) \
  -n config-lab -- ls /etc/config
# APP_ENV   APP_PORT   LOG_LEVEL   app.properties
# ↑ 각 key가 파일로 생성됨

kubectl exec -it $(kubectl get pod -n config-lab -l app=my-app-vol -o name) \
  -n config-lab -- cat /etc/config/APP_ENV
# production

# Base64 인코딩 (암호화 아님, 인코딩임)
echo -n 'mypassword123' | base64
# bXlwYXNzd29yZDEyMw==

# Base64 디코딩 (누구나 가능)
echo 'bXlwYXNzd29yZDEyMw==' | base64 -d
# mypassword123

# secret.yaml
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
  namespace: config-lab
type: Opaque
data:
  # 값은 반드시 Base64 인코딩된 문자열
  DB_PASSWORD: bXlwYXNzd29yZDEyMw==     # 'mypassword123'
  DB_USER: YWRtaW4=                      # 'admin'
  # stringData를 쓰면 평문으로 작성 가능 (kubectl이 자동으로 인코딩)
stringData:
  DB_HOST: "postgres-service:5432"       # 평문 작성 가능

# 명령어로 Secret 생성 (더 안전한 방법 — 터미널 이력에 평문이 남지 않음)
kubectl create secret generic db-secret \
  --from-literal=DB_PASSWORD=mypassword123 \
  --from-literal=DB_USER=admin \
  -n config-lab

# Secret 확인 (값은 Base64로 표시됨)
kubectl get secret db-secret -n config-lab -o yaml
# data:
#   DB_PASSWORD: bXlwYXNzd29yZDEyMw==
#   DB_USER: YWRtaW4=

# 값 디코딩 확인
kubectl get secret db-secret -n config-lab \
  -o jsonpath='{.data.DB_PASSWORD}' | base64 -d
# mypassword123

# deployment-secret.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: db-app
  namespace: config-lab
spec:
  replicas: 1
  selector:
    matchLabels:
      app: db-app
  template:
    metadata:
      labels:
        app: db-app
    spec:
      volumes:
        - name: secret-volume
          secret:
            secretName: db-secret
            defaultMode: 0400           # 소유자만 읽기 가능 (보안 강화)
      containers:
        - name: app
          image: busybox
          command: ["sh", "-c", "sleep 3600"]
          # 환경변수 방식
          envFrom:
            - secretRef:
                name: db-secret
          # 볼륨 방식 (환경변수와 동시 사용 가능)
          volumeMounts:
            - name: secret-volume
              mountPath: /etc/secrets
              readOnly: true            # 컨테이너가 Secret 파일 수정 불가

kubectl apply -f deployment-secret.yaml

# Secret이 환경변수로 주입됐는지 확인
kubectl exec -it $(kubectl get pod -n config-lab -l app=db-app -o name) \
  -n config-lab -- env | grep DB
# DB_PASSWORD=mypassword123
# DB_USER=admin
# DB_HOST=postgres-service:5432

# 볼륨으로 마운트된 Secret 파일 확인
kubectl exec -it $(kubectl get pod -n config-lab -l app=db-app -o name) \
  -n config-lab -- ls -la /etc/secrets
# -r--------    1 root     root            13 May 16 05:00 DB_PASSWORD
# -r--------    1 root     root             5 May 16 05:00 DB_USER

# ❌ 금지: Secret을 Git에 커밋하지 말 것
git add secret.yaml && git commit -m "add db secret"
# → 이력에 평문(또는 Base64) 값이 영원히 남음

# ✅ 권장: .gitignore에 추가
echo "*-secret.yaml" >> .gitignore
echo "*.secret.yaml" >> .gitignore

# ✅ 권장: kubectl create secret으로 터미널에서 직접 생성
# 또는 HashiCorp Vault, AWS Secrets Manager + external-secrets-operator 사용

# etcd 암호화 at rest 설정 확인 (클러스터 관리자용)
kubectl get encryptionconfigurations -A 2>/dev/null || \
  echo "EncryptionConfiguration 확인: 클러스터 설정 필요"

kubectl apply -f configmap.yaml / secret.yaml
   │
   ① 리소스 생성 → etcd 저장        (ConfigMap=평문 · Secret=Base64, 암호화 아님)
   │
   ② 파드 스펙이 참조                (env/envFrom · 또는 volumes + volumeMounts)
   │
   ③ kubelet이 값 조회               (API 서버에서 해당 ConfigMap/Secret 읽음)
   │
   ├─④a env 방식: 시작 시 환경변수 주입   (프로세스에 고정 → 이후 변경 반영 안 됨)
   ├─④b volume 방식: 파일로 마운트       (..data 심링크 → 값 바뀌면 파일 자동 갱신)
   │
   ⑤ 앱이 읽음                        (os.getenv() · 또는 파일 open())
   ▼
env=재시작해야 갱신 · volume=지연 후 자동 갱신(단, 앱이 다시 읽어야 실제 적용)