ConfigMap và Secret khác nhau thế nào?

Cả hai tách cấu hình khỏi image để cùng một image chạy ở nhiều môi trường. Đưa vào pod qua biến môi trường hoặc mount thành file.

• ConfigMap: dữ liệu cấu hình không nhạy cảm dạng plaintext (URL, feature flag, tên host).
• Secret: dữ liệu nhạy cảm (mật khẩu, API key, token, chứng chỉ). Lưu base64 và được xử lý riêng.

Lưu ý quan trọng: base64 không phải mã hóa — mặc định Secret chỉ được encode. Muốn an toàn thật phải bật encryption at rest cho etcd và siết RBAC, hoặc dùng external secret store (Vault, cloud KMS).