如何授予在 GCP cloud run 上运行的应用程序访问 gcp 服务的权限

Question

我正在开发一个 nodejs 应用程序，它可以从 gcp 秘密管理器访问秘密。我使用 GOOGLE_APPLICATION_CREDENTIALS 变量通过定向凭据在本地运行它。

然后我尝试将此服务部署到谷歌云运行，现在它抛出错误

 Error: 7 PERMISSION_DENIED: Permission 'secretmanager.versions.access' denied

我想知道如何将凭据添加到云运行容器。我看到了一些实现，其中凭据文件包含在代码中。从云运行容器访问 gcp 资源的最佳做法是什么？

Answer 1

您可能希望找到 a service account used by your Cloud Run，并根据所需的秘密授予该服务帐户 a relevant IAM role - 很可能是 Secret Manager Secret Accessor 角色 (角色/secretmanager.secretAccessor)。

您不需要任何凭据文件。在任何情况下，请不要在代码存储库中保留任何凭据。

======

在@kolban 评论后更新