emberstack/kubernetes-reflector

Reflector

概述和主要用途

Reflector是一个Kubernetes插件，旨在监控secrets和configmaps资源的变化，并将这些变化反映到同一或其他命名空间的镜像资源中。支持amd64、arm和arm64架构。

支持

如果需要帮助或发现bug，请在GitHub上提交Issue（https://github.com/emberstack/kubernetes-reflector/issues%EF%BC%89%E3%80%82

部署

Reflector可通过手动方式或使用Helm（推荐）进行部署。

前提条件

• Kubernetes 1.14+
• Helm 3（若使用Helm部署）

使用Helm部署

使用Helm安装最新发布的chart：

shellsession
$ helm repo add emberstack https://emberstack.github.io/helm-charts
$ helm repo update
$ helm upgrade --install reflector emberstack/reflector

可通过以下参数自定义Helm部署的值：

在Artifact Hub上查看更多信息

手动部署

每个发布版本（可在GitHub的https://github.com/emberstack/kubernetes-reflector/releases%E9%A1%B5%E9%9D%A2%E6%89%BE%E5%88%B0%EF%BC%89%E5%8C%85%E5%90%AB%E6%89%8B%E5%8A%A8%E9%83%A8%E7%BD%B2%E6%96%87%E4%BB%B6%EF%BC%88%60reflector.yaml%60%EF%BC%89%EF%BC%9A

shellsession
$ kubectl -n kube-system apply -f https://github.com/emberstack/kubernetes-reflector/releases/latest/download/reflector.yaml

使用方法

1. 标注源secret或configmap

• 向资源注解添加reflector.v1.k8s.emberstack.com/reflection-allowed: "true"，以允许向镜像资源反射。
• 向资源注解添加reflector.v1.k8s.emberstack.com/reflection-allowed-namespaces: "<列表>"，以仅允许从逗号分隔的命名空间列表或正则表达式中进行反射。注意：若省略此注解或为空，则允许所有命名空间。

自动创建镜像

Reflector可自动在其他命名空间中创建同名镜像资源，以下注解控制创建行为：

• 添加reflector.v1.k8s.emberstack.com/reflection-auto-enabled: "true"以自动创建镜像（需reflection-allowed为true）。
• 添加reflector.v1.k8s.emberstack.com/reflection-auto-namespaces: "<列表>"以指定自动创建镜像的命名空间（若省略或为空，允许所有命名空间，且需通过reflection-allowed-namespaces检查）。

重要提示：删除源资源时自动镜像会被删除；关闭反射/自动镜像功能或命名空间不再匹配时，自动镜像也会被删除。 重要提示：创建自动镜像时会跳过冲突资源，若目标命名空间已存在同名资源，将跳过并记录警告。

源secret示例：

yaml
apiVersion: v1
kind: Secret
metadata:
  name: source-secret
  annotations:
    reflector.v1.k8s.emberstack.com/reflection-allowed: "true"
    reflector.v1.k8s.emberstack.com/reflection-allowed-namespaces: "namespace-1,namespace-2,namespace-[0-9]*"
data:
  ...

源configmap示例：

yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: source-config-map
  annotations:
    reflector.v1.k8s.emberstack.com/reflection-allowed: "true"
    reflector.v1.k8s.emberstack.com/reflection-allowed-namespaces: "namespace-1,namespace-2,namespace-[0-9]*"
data:
  ...

2. 标注镜像secret或configmap

向镜像对象添加reflector.v1.k8s.emberstack.com/reflects: "<源命名空间>/<源名称>"注解，值为源对象的命名空间/名称格式全名。

注意：手动修改镜像时（如通过helm部署），添加reflector.v1.k8s.emberstack.com/reflected-version: ""可重置反射版本。

镜像secret示例：

yaml
apiVersion: v1
kind: Secret
metadata:
  name: mirror-secret
  annotations:
    reflector.v1.k8s.emberstack.com/reflects: "default/source-secret"
data:
  ...

镜像configmap示例：

yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: mirror-config-map
  annotations:
    reflector.v1.k8s.emberstack.com/reflects: "default/source-config-map"
data:
  ...

3. 完成配置

Reflector将监控源对象变化并复制以下字段：

• secrets：data字段
• configmaps：data和binaryData字段
  通过注解记录源对象版本以跟踪同步内容。

cert-manager支持

自cert-manager 1.5版本起，可通过secretTemplate为证书创建的secrets添加注解实现镜像（参见[***]

yaml
apiVersion: cert-manager.io/v1
kind: Certificate
...
spec:
  secretTemplate:
    annotations:
      reflector.v1.k8s.emberstack.com/reflection-allowed: "true"
      reflector.v1.k8s.emberstack.com/reflection-allowed-namespaces: ""
  ...