如何通过gcloud shell在云运行部署中正确使用来自secret Manager的机密

Question

我试图构建一个gCloud脚本来部署我的云运行服务。此服务可以访问托管MongoDB，因此我必须通过环境变量提供密码凭据。

我想通过一个秘密管理员传递这个密码。我通过GCP控制台这样做：

因此，秘密名称是mongodb password，值是mypassword。现在，我将学习gcloud运行文档(https://cloud.google.com/sdk/gcloud/reference/run/deploy)了解如何将秘密添加到运行服务部署中。

在设置秘密的部分解释了以下内容：

指定要装载或作为环境变量提供的机密。以正斜杠“/”开头的键是装载路径。所有其他键都对应于环境变量。与其中每一项相关的值应采用SECRET_NAME的形式：KEY_in_SECRET；您可以省略机密中的密钥，以指定机密中所有密钥的数量。例如：'--update secrets=/my/path=mysecret，ENV=othersecret:key。json'将创建一个带有秘密'mysecret'的卷，并将该卷装载在'/my/path'上。由于未指定密钥，“mysecret”中的所有密钥都将包含在内。还将创建一个名为ENV的环境变量，其值为'key'的值。“其他机密”中的“json”。最多可以指定其中一个

这让我有些困惑。我不知道秘密中的钥匙是什么意思。这个秘密名称显然是mongodb password，但我不知道现在如何引用这个秘密的值。

我试图弄清楚是否有一个关于如何定义秘密值的惯例。也许类似于key=value。但是没有什么能说明我必须这样做。

所以现在我想知道我应该为gCloud运行部署命令的--set-Secret=[KEY=VALUE，...]标志做些什么。

根据提供的信息，我只能这样做：

--html" target="_blank">set-secrets=[mongodb-password=*]

我知道这是不对的，但我想解释一下现在让我困惑的是什么

Answer 1

你很困惑，这很正常。秘密管理器集成目前仅适用于安托斯上的云运行（例如，部署在GKE集群上）。

如果您使用的是完全管理版本，Cloud Run还不支持secret manager集成（Alpha版本应该很快启动，您可以期待在今年晚些时候公开推出）。

所以你需要直接在代码中获取你的秘密。或者，我创建了一个包装器来帮助您从秘密管理器加载秘密，并将它们设置在环境变量中。

在GKE中，库伯内特斯秘密文件中描述了这些秘密。您可以在linux目录树/path/to/mysecret中的路径中装载一个秘密。这是一个最佳实践，对于完全管理的版本应该是一样的（以确保可移植性和兼容性）。

这就是为什么你可以在文档--update secrets=/my/path=mysecret