您的 AKS 託管應用程式需要 TLS 憑證和資料庫密碼。這些值必須在 Pod 啟動時透過掛載的磁碟區從 Azure Key Vault 取得，而不是儲存在 etcd 中。對於特定環境，您還希望這些值可作為 Kubernetes Secret 使用，以作為環境變數。您應該設定什麼？

正確答案是啟用適用於 Secrets Store CSI Driver 的 Azure Key Vault 提供者，因為它直接滿足了從 Azure Key Vault 獲取機密並將其作為掛載磁碟區提供給 Pod 的要求，同時也支援將選定的機密同步為 Kubernetes Secret，以作為環境變數使用。這避免了將敏感資料儲存在 etcd 中。 將憑證和密碼儲存在 Kubernetes ConfigMap 中不適合敏感資料，因為 ConfigMap 未加密。建立 Kubernetes Secret 並使用自訂 admission controller 會增加複雜性，且不如 CSI Driver 提供者直接。將憑證和密碼烘焙到容器映像中是極不安全的做法，且難以管理機密輪替。