如何使用 Spring Boot 将来自 Google Secret Manager 的秘密作为环境变量注入 Kubernetes Pod？

Question

为了布莱恩的一生，我该怎么做？

Terraform 用于在 GCP 中创建 SQL Server 实例。 Root密码和用户密码是随机生成的，然后放入Google Secret Manager。 数据库的 IP 通过私有 DNS 区域公开。

我现在如何获取用户名和密码以将数据库访问到我的 K8s 集群？在此处运行 Spring Boot 应用程序。

这是我想到的一个选项：

在我的部署中，我添加了一个initContainer：

- name: secrets
  image: gcr.io/google.com/cloudsdktool/cloud-sdk
  args: 
  - echo "DB_PASSWORD=$(gcloud secrets versions access latest --secret=\"$NAME_OF_SECRET\")" >> super_secret.env

好的，现在呢？如何从这里将它放入我的应用程序容器中？

还有像bitnami/sealed-secrets 这样的选项，我不喜欢这些选项，因为设置已经使用Terraform 并将机密保存在 GCP 中。使用sealed-secrets 时，我可以跳过使用机密管理器。与VaultIMO 相同。

Answer 1

除了 cmets 中的其他答案和建议之外，我想推荐两个您可能会感兴趣的工具。

第一个是secret-init:

secrets-init 是一个简约的初始化系统，旨在作为 PID 1 运行 在容器环境中，它与 多个秘密管理器服务，例如Google Secret Manager

第二个是kube-secrets-init:

kube-secrets-init 是一个 Kubernetes mutating admission webhook， 使任何使用特殊前缀环境的 K8s Pod 发生变异 变量，直接或来自 Kubernetes 作为 Secret 或 ConfigMap。

它还支持与 Google Secret Manager 的集成：

用户可以将 Google 机密名称（前缀为 gcp:secretmanager:）作为环境变量值。 secrets-init 将使用指定名称将任何环境值解析为引用的秘密值。

这是一个很好的article，关于它是如何工作的。

Answer 2

如何从这里将它放入我的应用程序容器中？

您可以使用volume 来存储机密并在初始化容器和主容器中安装相同的卷，以便与初始化容器中的主容器共享机密。

apiVersion: v1
kind: Pod
metadata:
  name: my-app
spec:
  containers:
  - name: my-app
    image: my-app:latest
    volumeMounts:
    - name: config-data
      mountPath: /data
  initContainers:
  - name: secrets
    image: gcr.io/google.com/cloudsdktool/cloud-sdk
    args: 
    - echo "DB_PASSWORD=$(gcloud secrets versions access latest --secret=\"$NAME_OF_SECRET\")" >> super_secret.env
    volumeMounts:
    - name: config-data
      mountPath: /data
  volumes:
  - name: config-data
    emptyDir: {}

Answer 3

您可以使用spring-cloud-gcp-starter-secretmanager 从 Spring 应用程序本身加载机密。

文档 - https://cloud.spring.io/spring-cloud-gcp/reference/html/#secret-manager

Answer 4

使用emptyDir 的volumes 和medium: Memory 保证秘密不会被持久化。

...
volumes:
      - name: scratch
        emptyDir:
          medium: Memory
          sizeLimit: "1Gi"
...