Как передать конфигурацию и секреты приложению в Kubernetes?

Подключение:

env:
  - name: DB_PASSWORD
    valueFrom: { secretKeyRef: { name: orders-db, key: password } }
volumeMounts:
  - { name: config, mountPath: /etc/orders }
volumes:
  - { name: config, configMap: { name: orders-config } }

Защита секретов:

• шифрование etcd на диске (EncryptionConfiguration или средства облака);
• RBAC: читать Secret может только сервисный аккаунт приложения;
• в Git — только зашифрованные (Sealed Secrets, SOPS) или ссылки на внешнее хранилище (External Secrets Operator + Vault или облачный менеджер секретов);
• ротация и короткоживущие учётные данные (динамические секреты Vault).

Обновление конфигурации. Deployment не замечает изменения ConfigMap. Варианты: аннотация с хешем конфигурации в шаблоне пода (Helm checksum/config), перезапуск kubectl rollout restart, перечитывание файла приложением.