ConfigMaps et Secrets : configuration sans cuisson dans les images
ConfigMap contient une configuration non sensible (clés, fragments JSON). Secret contient les octets sensibles : base64 dans etcd par défaut (chiffrer au repos avec KMS en production). Montez en tant que volumes ou injectez en tant que vars env : les volumes permettent le rechargement en direct pour certaines applications ; env est plus simple mais statique par démarrage de conteneur.