terraform从gcp秘密创建k8s秘密

Question

我成功地实现了在terraform中创建敏感资源的流程，在任何时候都不会透露敏感细节是什么，因此在我们的github repo中不会以纯文本存储。我让TF创建一个服务帐户，它与SA密钥相关，然后创建一个引用SA密钥输出的GCP密钥。

我现在想看看是否有任何方法可以对一些预定义的数据库密码执行相同的操作。流量会略有不同：

• 手动创建GCP secret（在secrets manager中），该密码的值为我们的PGbouncer实例将使用的纯文本数据库密码列表（稍后将在流程中提供更多信息）
• 我使用terraform import导入这个资源，所以terraform state现在知道这个资源，尽管它是在TF之外创建的，但我刚刚添加的机密版本为secret_data=“”（否则，将纯文本密码详细信息放在这里会破坏对象！）
• 我现在想从google_secret_manager_版本中获取secret_数据，将其添加到kubernetes_secret中，以便在我们的GKE集群中使用

然而，当我运行terraform plan时，它想要更改我手动创建的GCP secret的值

  # google_secret_manager_secret_version.pgbouncer-secret-uat-v1 must be replaced
-/+ resource "google_secret_manager_secret_version" "pgbouncer-secret-uat-v1" {
      ~ create_time  = "2021-08-26T14:42:58.279432Z" -> (known after apply)
      + destroy_time = (known after apply)
      ~ id           = "projects/********/secrets/pgbouncer-secret-uat/versions/1" -> (known after apply)
      ~ name         = "projects/********/secrets/pgbouncer-secret-uat/versions/1" -> (known after apply)
      ~ secret       = "projects/********/secrets/pgbouncer-secret-uat" -> "projects/*******/secrets/pgbouncer-secret-uat" # forces replacement
      - secret_data  = (sensitive value) # forces replacement 

你知道我该怎么解决这个问题吗？我想导入在kubernetes中使用的谷歌秘密版本，但不设置资源中的secret_data值，因为我不希望它覆盖我手动创建的内容。这里是我所说的相关terraform配置：

resource "google_secret_manager_secret" "pgbouncer-secret-uat" {
  provider = google-beta

  secret_id = "pgbouncer-secret-uat"

  replication {
    automatic = true
  }

  depends_on = [google_project_service.secretmanager]
}

resource "google_secret_manager_secret_version" "pgbouncer-secret-uat-v1" {
  provider = google-beta

  secret      = google_secret_manager_secret.pgbouncer-secret-uat.id
  secret_data = ""
}

Answer 1

如果您只想检索/读取秘密而不主动管理它，那么您可以使用关联的data来代替：

data "google_secret_manager_secret_version" "pgbouncer-secret-uat-v1" {
  provider = google-beta
  
  secret = google_secret_manager_secret.pgbouncer-secret-uat.id
}

然后，您可以使用库伯内特斯集群中的值作为数据导出资源属性的秘密：data.google_secret_manager_secret_version.pgbouncer-secret-uat-v1.secret_data。请注意，提供程序可能会将这个导出的资源属性标记为敏感的，这会带来正常的后果。

您还可以查看完整的文档以了解更多信息。

此外，由于您将资源导入到您的状态以在Terraform配置中管理它，因此您需要在将其从配置中删除的同时将其从状态中删除。您可以使用terraform状态rmgoogle_secret_manager_secret_version.pgbouncer-recy-uat-v1最容易地做到这一点。然后，您可以安全地从配置中删除资源，并在配置中仅包含data。