Google Secret Manager - 可以用于存储 API 用户的用户名和密码吗？

Question

考虑一个接收 HTTPS 请求并使用 HTTP 基本身份验证的 API。每当收到请求时，应用程序都需要检查标头中的用户名/密码组合是否有效。可能有成千上万的用户，每个用户都有自己的密钥。

我想知道 Google Secret Manager 是否适合这个用例。那就是：

• 我可以将每个 API 用户名/密码存储在 Secret Manager 中，使用用户名作为密钥 ID。
• 然后，每当有请求进入时，应用程序将：(1) 查找 Authorization 标头中存在的用户名的凭据，(2) 将标头密码与从 Secret Manager 检索到的密码进行比较，(3) 拒绝如果有不匹配的请求。

对于上述情况，Google Secret Manager 是否有效且可取？

Answer 1

这在技术上是可行的，因为 GCP 项目中的机密数量没有限制。但是，它可能很快变得昂贵。每个秘密是 0.06 美元/月。这意味着每个用户每年花费 0.72 美元。对于 100 万用户，这就是 72 万美元/年 + API 运营成本。

还有延迟需要考虑。您需要在用户请求的上下文中对 Secret Manager 进行 API 调用。这很容易使往返延迟加倍。您考虑的架构是正确的，但 Secret Manager 并不是真正的 LDAP 或身份验证服务器。