从PODs访问GCP机密管理器中的机密
一些秘密需要通过PODS获取，秘密存储在GCP秘密管理器中，什么是安全有效的方法来获取pod中的秘密？
谢谢你！
共有1个答案
Kubernetes Secrets和Google Secret Manager之间没有本地集成。如文档所述，最好的解决方案是使用Secret Manager客户端库与Secret Manager交互，尤其是访问它们。
从安全角度来看，使用工作负载标识也是为部署使用特定服务号，然后实施最小特权原则的最佳解决方案。
如果不这样做，则默认情况下将使用Node服务号（计算引擎上的此服务号），并且必须授予此服务号才能访问机密。而且，因为它是NODE标识，所以在这些节点上运行的所有Pod都将具有相同的权限，并被允许访问机密！
-
使用Secrets Manager提供的默认代码和必要的IAM角色，我可以在我的lambda中从Secrets Manager中读取API密钥： 这个Lambda能够成功地从Secrets Manager中检索和打印API密钥。 为了与EC2实例通信，我有一个带有助手层和一些简单测试代码的Lambda： null 我想我已经把范围缩小到VPC了。第一个Lambda只是打印出秘密工作完美，直到我把它
-
我正在尝试从使用文件，以使用谷歌云平台机密管理器。我已经按照这里的说明操作了，但是我遇到了一个错误，说我没有权限访问这个秘密。 这就是我得到的错误： 我确实创建了一个具有“所有者”权限的服务帐户，下载了它，并使其
-
在测试我编写的一个Google Cloud函数时，试图访问存储在secret Manager中的一个秘密，我得到了以下错误：
-
我正在构建一个简单的应用程序，它将Twilio凭据存储在GCP秘密管理器中，并在需要时将其拉下来。但是，我一直收到项目资源上的拒绝权限错误（403）： 谷歌。api_核心。例外。PermissionDenied:403资源项目的权限被拒绝。 我使用环境变量设置到包含服务号凭据的JSON文件的路径。 以下是我已经尝试过的： 确保在GCP控制台中正确设置权限。服务帐户被设置为项目的所有者和项目级别的机
-
是否有任何可能的方法，我可以更新AWS秘密管理器中的密钥/值，而不必检索当前值，然后更新它们？ 我找到的当前解决方案首先从secrets Manager中检索值： 但我不想检索秘密值。首选语言是Python。
-
我目前正在将我的docker部署迁移到k8s清单，我想知道如何处理秘密。目前，我的docker容器获取/run/secrets/app_secret_key以env-var的形式获取容器内的敏感信息。但与k8s机密处理相比，这有什么好处吗？因为在另一方面，我也可以在我的声明中这样做。yaml： 然后直接将秘密作为env变量放入容器中...我能够注意到的唯一区别是，如果我在容器内提取/run/sec