Env проще для простых переменных, но не обновляется без рестарта и легче утекает в логи/дочерние процессы; volume mount удобен для файлов/сертификатов и может обновляться kubelet'ом (с задержкой) для приложений, которые перечитывают файлы.
Разбор
- Крупные конфиги и ключи TLS — почти всегда files.
- envFrom раздувает окружение и усложняет аудит.
- Не логируйте env в стартовых скриптах.
- projected volumes комбинируют несколько источников.
Итог
Файлы — для секретов/сертификатов и hot-reload; env — для простых флагов.