GCP服务帐户密钥通过secret manager轮换

Question

我在GCP中有一个服务帐户，我将其密钥保存在一个秘密管理器中。

是否有办法为该保密服务帐户密钥设置计划的秘密轮换，以便发布/订阅将是GCP密钥，而不是由我管理？GCP是否提供此类托管发布/订阅服务？

Answer 1

虽然没有内置的功能，但谷歌建议使用Keyrotator等工具来保护服务帐户密钥的安全
您还可以使用云SDK编写自己的脚本，该脚本将创建一个新密钥，获取并在Secrets Manager中更新：

# create the key
gcloud iam service-accounts keys create key-file \
    --iam-account=[e-mail]

# obtain new key
gcloud beta iam service-accounts keys get-public-key KEY_ID \
    --iam-account=SA_NAME --output-file=FILENAME

#update the secret in secrets manager
gcloud secrets update secret-id \
    --update-labels=key=value

# remove the old one
gcloud iam service-accounts keys disable key-id \
    --iam-account=[e-mail]

这当然是一个简化的代码，您可以在这里找到关于这些命令的更多信息-1，2
此类脚本可以定期运行，例如在GCE实例或云调度器上使用crontab。