从 Google Cloud Build 访问存储在 Google Secret Manager 中的环境变量

Question

如何从我的 Google Cloud Build Pipeline 访问我在 Google Secret Manager 中定义的变量？

Answer 1

您可以使用标准的 Cloud Builder gcloud 从 Cloud Build 访问机密

但是，有两个问题：

1. 如果您想在另一个 Cloud Build 步骤中使用密钥值，则必须将您的密钥存储在一个文件中，这是在一个步骤中重复使用先前值到另一个步骤的唯一方法
2. 当前的 Cloud Builder gcloud 不是最新的（今天，2020 年 2 月 3 日）。您必须添加 gcloud 组件更新才能使用正确的版本。 我为此打开了一个问题。

steps:
    - name: gcr.io/cloud-builders/gcloud
      entrypoint: "bash"
      args:
          - "-c"
          - |
              gcloud components update
              # Store the secret is a temporary file
              gcloud beta secrets versions access --secret=MySecretName latest > my-secret-file.txt
    - name: AnotherCloudBuildStepImage
      entrypoint: "bash"
      args:
          - "-c"
          - |
              # For getting the secret and pass it to a command/script
              ./my-script.sh $(cat my-secret-file.txt)

考虑将角色 Secret Manager Secret Accessor roles/secretmanager.secretAccessor 授予 Cloud Build 默认服务帐户 <PROJECT_ID>@cloudbuild.gserviceaccount.com

编辑

您可以从任何地方访问密钥，无论是安装 gcloud CLI（并使用授权访问密钥的服务帐户进行初始化）或通过 API 调用

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \
https://secretmanager.googleapis.com/v1beta1/projects/PROJECT_ID/secrets/MySecretName/versions/latest:access

注意：您在数据字段中以 base64 编码格式收到秘密。使用前别忘了解码！

您必须在授予正确角色的服务帐户上生成访问令牌。这里我再次使用gcloud，因为它更容易。但是根据你的平台，使用最合适的方法。 python 脚本也可以完成这项工作。

---

编辑 2

Cloud Build 中现在有一个新的 way to get secrets exists。样板更少，更安全。现在看看并使用这种方式。