Блог

Мое приложение размещено в AKS, секреты хранятся в хранилище Azure secrets. То, что есть у моего клиента, — это созданный том, в котором хранится /mnt/secrets-store этот каталог, содержащий все секреты для моего приложения.

Например:

• RabbitMQ—Пароль
• DB—ConnectionString

По-видимому, это стандартная практика для моего текущего клиента. Тогда решение состоит в том, чтобы читать файл каждый раз, когда они хотят загрузить настройки. Все это указано в диаграммах healm.

    volumeMounts:
        - name: secrets-store-inline
          mountPath: "/mnt/secrets-store"
          readOnly: true
        {{- end}}
 

Ряд моих сервисов загружаются как отдельные элементы при запуске, что означает, что настройки должны быть доступны при запуске.

Примечание: Моя служба не имеет прямого доступа к Azure key Vault, и это не то, что можно изменить. Все, к чему у меня есть доступ, — это эти файлы.

Что я сделал, так это создал пользовательский IConfigurationBuilder интерфейс под названием UseAzureKeyVaultMountedSecrets everything is very straight forward с этим. Он просто проверяет наличие папки, а затем загружает секреты, заменяя все, что есть в appsettings..json для этого ключа является именем.

   public static IHostBuilder CreateHostBuilder(string[] args) =>
            Host.CreateDefaultBuilder(args)
                .UseAzureKeyVaultMountedSecrets()
                .UseSerilog((context, config) => config.ReadFrom.Configuration((context.Configuration)))
                .ConfigureWebHostDefaults(webBuilder => { webBuilder.UseStartup<Startup>(); });
 

Локально для тестирования я просто создал папку с файлами в ней, и это работает как шарм. Однако при размещении на AKS у меня начались проблемы. Мои проверки работоспособности показывают, что он может обнаружить mnt dir. Но он их не читает.

После довольно продолжительной отладки я обнаружил, что проблема заключается в том, что каталог mnt недоступен при запуске микросервиса в модуле. Это первое после запуска модуля, что он может получить доступ к каталогу mnt.

Есть ли решение для этого?

• Как я могу заставить его уменьшить громкость перед запуском в AKS?
• Можно ли снова загрузить настройки после запуска службы? Если это так. тогда мне интересно, мог бы я затем создать что-то вроде IHostedService, который просто продолжал бы пытаться получить к нему доступ, а затем остановиться, как только он их захватил.

Основная часть проблемы заключается в том, что эти параметры используются для настройки всех одиночек, запущенных в системе. Если я подожду, пока все загрузится, они уже настроены.

@christian-sauer прав, я считаю, что ваша «проблема» заключается в том, что для отображения этих «виртуальных» файлов требуется некоторое время, поскольку они отображаются из Azure Vault. т. е. монтирование завершено, и поэтому инициализация pod продолжается, но для отображения файлов требуется время, пока проецируются секреты.

Поэтому вам нужно заставить свое приложение подождать, пока они появятся. Я не совсем понимаю, что вы подразумеваете под «Модуль не завершит загрузку». Все будет хорошо. Просто ваш процесс будет выполнять небольшую дополнительную работу во время запуска.

Итак, просто добавьте небольшой цикл, который проверяет наличие файлов в этой папке, а затем продолжайте. Потребуется немного усилий, чтобы сделать его надежным, и вам нужно будет поэкспериментировать и понаблюдать, как выглядят эти файлы. т.е. все ли они появляются сразу? Или они появляются с течением времени? Может быть, вы пересчитываете файлы, ждете, пересчитываете еще раз. Если счетчик стабилен в течение некоторого периода времени (500 мс?), То разорвите цикл и продолжайте. Если это займет слишком много времени (10 секунд, 30 секунд?), Тогда бросьте, и процесс (и модуль) завершится неудачей. Какое поведение является правильным.

Вы правы, думая о проверках работоспособности, но … конфигурация — сложная штука. Как вы уже указали, он должен быть доступен до того, как другие вещи могут быть загружены.

Возможно, используйте ConfigureHostConfiguration расширение IHostBuilder для выполнения цикла проверки файлов. Это достаточно рано, так что запуск блокируется до того, как что-либо ссылается на config. (Примечание: существует два этапа: конфигурация хоста; Конфигурация приложения).

Вы правы, это действительно блокирует процесс, пока проверка работает. Это совершенно нормально.

Для полноты картины… вы можете подумать об использовании IOptionsMonitor вместо (обновляет IConfiguration, когда базовый поставщик обнаруживает изменение. обновление файла ie). Кажется «хорошим», но…

1. будет ли он обновлен к тому времени, когда он понадобится другим вашим частям? Возможно, вы сможете реорганизовать эти фрагменты, чтобы подключиться к измененному событию и повторно инициализировать себя. Здесь будут драконы.
2. В k8s «файлы», которые вы читаете, часто являются символическими ссылками. SystemFileWatcher не будет перехватывать изменения, поскольку атрибуты символьных ссылок не изменяются, только данные, на которые они указывают.

Итак, KISS, просто заблокируйте процесс, пока не появятся файлы