генерировать динамическую среду выполнения YAML для контейнера с секретами k8s

Я развертываю службу, которая жестко использует конфигурацию YAML, которая выглядит примерно так:

# /config/srv.yaml

#
# ...
#
tenantid: '...'
clientid: '...'
certfile: '/config/client/client.crt'
keyfile:  '/config/client/client.key'
#
# ...
#

TL;ДР; Я хочу только хранить файлы tenantid, clientid и сертификатов в k8s секретах.

Мое текущее решение хранит весь файл YAML в секрете, что кажется расточительным, а также громоздким в управлении.

По сути, у меня есть это, которое хорошо работает для двух файлов сертификатов (/config/client/client.crt и /config/client/client.key):

spec:
  containers:
    - name: my-container
      image: "my-image"
      imagePullPolicy: Always
      ports:
        - containerPort: 50100
      env:
      - name: CONF_FILE
        value: "/config/srv.yaml"
      volumeMounts:
      - name: yaml-vol
        mountPath: "/config" # KLUDGY
        readOnly: true
      - name: certs-vol
        mountPath: "/config/client"
        readOnly: true

    volumes:
    - name: yaml-vol
      secret:
        secretName: my-yamls # KLUDGY
    - name: certs-vol
      secret:
        secretName: my-certs # contains the *.crt/*.key cert files

Однако это включает в себя хранение всего /config/srv.yaml в секретах kubernetes my-yamls.

документы по секретам k8s предлагают способ создайте динамическую конфигурацию YAML для своих контейнеров, заполняя секреты именно там, где это необходимо, используя stringData, например.

stringData:
  config.yaml: |-
    apiUrl: "https://my.api.com/api/v1"
    username: {{username}}
    password: {{password}}

но документы заканчиваются очень расплывчато:

Затем ваш инструмент развертывания может заменить переменные шаблона {{username}} и {{password}} перед запуском kubectl apply.

Мне просто нужно заполнить два строковых элемента в динамическом конфиге: clientid и tenantid.

Используя только kubectl, как можно создать динамический YAML для контейнера, сохраняя неконфиденциальный шаблон YAML в deploy.yaml, и иметь только конфиденциальные элементы в k8s secrets?