如何在Google app Engine中设置环境变量/应用机密

Question

问题是如何设置应用程序机密，使其在应用程序中可用。yml？

在heroku上，我只是简单地为dyno设置了环境变量，并将其访问为：

server:
  port: ${PORT}
security:
  user:
    password: ${USERPASSWORD}

eureka:
  client:
    register-with-eureka: false
    fetch-registry: false
  instance:
    hostname: localhost
    securePortEnabled: true
  password: ${EUREKAPASSWORD}

不幸的是，我不知道如何将这些值注入我的*. yml文件。

编辑：

还有一件更重要的事情需要补充。我正在使用maven appengineplugin通过CI管道部署我的应用程序，所以我不可能推送app。yaml文件到应用程序引擎

Answer 1

最好和安全的方法是使用GCP KMS或一些第三方机密管理器产品，如vault。

GCP KMS

1. 我们需要使用具有加密和解密权限（角色）的服务帐户来加密凭据（机密）文件
2. 将加密的凭证文件上载到GCS
3. 从GCS获取加密凭证，并在运行时在应用程序代码中对其进行解密和html" target="_blank">解析（例如解析为普通java对象）

数据存储

是的。我们可以将凭据/机密环境变量存储到数据存储中，并在应用程序代码中的运行时获取它们。

赞成的意见：

1. 简单

欺骗：

1. 安全性不如KMS好

GCE元数据

我曾经使用GCE元数据服务器来存储我的秘密环境变量。

赞成的意见：

>

它支持GAE、GCE、GKE。

非常简单。我们只需要发送HTTP请求到http://metadata.google.internal/computeMetadata/v1/endpoint来获取我们的自定义元数据（秘密环境变量）。

欺骗：

>

去年，GCE元数据不支持云功能。（运行时：nodejs10）。我无法从云函数中的GCE元数据获取我的自定义环境变量。但是可以获取内置的元数据，比如projectId。

安全性不如KMS好。

configmap和secrets（仅适用于GKE）

可以进行简单的base64加密。使用难度中等。安全性不如KMS。

另一种黑客方式

我还在这里为这个问题创建了一个帖子：如何将系统环境变量传递给app.yaml?

是的，Linux脚本方式可以做任何事情。但我不喜欢这种黑客方式。

Answer 2

谷歌也有一个关于如何存储加密机密的教程。https://cloud.google.com/kms/docs/store-secrets

TLDR：一个单独的存储桶来存储加密的秘密，实例在需要时下载它，使用Google KMS（https://cloud.google.com/kms/）解密并在之后删除。

Answer 3

如果你想存储应用程序在运行时可用的秘密，将它们保存在数据存储中不是个坏主意。我知道很多应用程序都能做到这一点。

这是Khan Academy使用的一个应用程序，它是在数据存储中存储秘密凭据的一个很好的例子。它是Python格式的，但您可以了解大致情况。请注意，在第一次管理员登录时，它会提示存储机密。