安全服务帐户凭据json key kotlin

Question

因此，我正在尝试在我的本地主机上获取服务应用程序凭据，并且遇到了一些问题。我创建并下载了json密钥，我想保护它们，而不是让它们变成纯文本。

我想知道最好的方法。我有这个代码：

fun getServiceAccountCredentials(
    pathToFallBackCredentialsFile: String
): ServiceAccountCredentials {
    return try {
        getApplicationDefault() as ServiceAccountCredentials
    } catch (e: IOException) {
        return ServiceAccountCredentials.fromStream(FileInputStream(pathToFallBackCredentialsFile))
    } catch (e: ClassCastException) {
        return ServiceAccountCredentials.fromStream(this::class.java.classLoader.getResourceAsStream(pathToFallBackCredentialsFile))
    }
}

这里的问题是我的JSON文件在我的存储库中以纯文本形式公开。

Answer 1

我找到了解决方案。

我从GCP激活了秘密管理器，并在那里添加了JSON文件。

为了在java/kotlin应用程序中获得这个秘密（如果没有spring，如果有spring，可以使用“spring-cloud-gcp-starter secretmanager”），我使用了下面的代码。

fun accessSecretVersion(secretId: String?, versionId: String?): String {
    val googleCredentials = GoogleCredentials.getApplicationDefault() as UserCredentials
    val projectId = googleCredentials.quotaProjectId
    return getSecret(projectId, secretId, versionId)
}

fun getSecret(projectId: String?, secretId: String?, versionId: String?): String {
    SecretManagerServiceClient.create().use { client ->
        val secretVersionName = SecretVersionName.of(projectId, secretId, versionId)

        val response = client.accessSecretVersion(secretVersionName)

        return response.payload.data.toStringUtf8()
    }
}

Answer 2

选项

< li >加密它们，然后让应用程序解密它们。然而，如果解密密钥在同一个存储库中，那么您只是将问题转移到了另一个地方，尽管有人需要有人读取/执行您的代码来获取它们。 < li >您的应用将如何运行，例如在Kubernetes等Docker容器中运行，或者在您的数据中心运行其他应用？如果是这样的话，那么你就把责任传递给应用程序容器管理器，让它在启动时注入凭证(和其他环境细节)，比如使用一些类似Kubernetes的配置图。我们这样做，并将生产配置映射保存在单独的DevOps专用存储库中。 < li >有专门的机密管理解决方案来解决这个问题，您的应用程序在运行时会调用机密管理器来获取所需的机密，例如https://www.hashicorp.com/products/vault或一些定制云供应商