如何使用 Cloud Build 使用来自 Secret Manager 的密钥部署 Cloud Functions？

Question

我有一个云函数，我想使用 Cloud Build 在我的 CD 管道中部署它。该函数需要存储在 Secret Manager 中的几个秘密，我想使用 --set-secrets 标志将它们作为环境变量拉入。

当我使用 CLI 手动部署时，我没有问题：

gcloud beta functions deploy myfunction \
  --source src \
  --trigger-topic mytopic \
  --region europe-west1 \
  --runtime python39 \
  --set-secrets 'env_1=secret_1:latest','env_2=secret_2:latest'

但是，当我尝试使用具有此配置的 Cloud Build 进行部署时：

steps:
- name: 'gcr.io/cloud-builders/gcloud'
  args:
  - beta
  - functions
  - deploy
  - myfunction
  - --source=src
  - --trigger-topic=mytopic
  - --region=europe-west1
  - --runtime=python39
  - --set-secrets='env_1=secret_1:latest','env_2=secret_2:latest'

我收到--set-secrets 参数must match the pattern 'SECRET:VERSION' or 'projects/{PROJECT}/secrets/{SECRET}:{VERSION}' or 'projects/{PROJECT}/secrets/{SECRET}/versions/{VERSION}' where VERSION is a number or the label 'latest' 的错误。我不明白为什么会出现此错误，因为我认为我的论点符合上述模式。

我有什么遗漏吗？

Answer 1

首先，按照 Guillaume 的建议删除每对的引号。之后，它应该如下所示：

--set-secrets=env_1=secret_1:latest,env_2=secret_2:latest

或者，我的建议是将您的所有参数作为一个列表包含在下面的示例中。我测试了下面的配置，它对我有用。

steps:
- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  args: ['gcloud', 'beta','functions', 'deploy', 'myfunction', '--region=europe-west1', '--source=src', '--trigger-topic=mytopic', '--runtime=python39', '--set-secrets=env_1=secret_1:latest,env_2=secret_2:latest']

注意：如果您有多个秘密，请不要在 --set-secrets 值中添加空格

要了解更多信息，请查看此documentation。

Answer 2

这里是一些文档：https://cloud.google.com/build/docs/securing-builds/use-secrets

您需要在 cloudbuild.yaml 中使用 secretEnv 密钥以及 availableSecrets 声明