Cloudbuild 中的秘密环境变量（没有文件），如何？

Question

我正在 Cloud Build 中创建一个非常基本的 Node.js 应用程序的 CI/CD 管道，并部署到 GCP appengine 标准。

非机密环境变量存储在app.yaml 文件中。但我当然不想把我的秘密放在那里。事实上，我不想将它们放在任何文件中（无论是否加密），因为该文件最终会出现在 AppEngine 实例上，并且可以被“坏管理员”“查看”。有许多示例建议加密/解密完整文件（有时甚至是代码），但我不想走这条路。

我正在寻找一种将秘密环境变量设置为“内存中”的方法，作为 CI/CD 管道的一部分。有人吗？

我在 app.yaml 文件 (env_variables) 中没有添加任何秘密 - 工作正常 在我的cloudbuild.yaml 文件（秘密）中添加了加密的秘密 - 没有错误 将 secretEnv: 添加到构建步骤中，但值不会在应用引擎中以 process.env.[KEY] 结尾

cloudbuild.yaml

steps:
- name: 'gcr.io/cloud-builders/npm'
  args: ['install']
  dir: "appengine/hello-world/standard"
 - name: "gcr.io/cloud-builders/gcloud"
  args: ["app", "deploy", "test-app.yaml"]
  dir: "appengine/hello-world/standard"
  secretEnv: ['API_KEY', 'API_URL']

secrets:
- kmsKeyName: projects/XXXXXXXX/locations/global/keyRings/customintegrations-secrets/cryptoKeys/integration-secrets
  secretEnv:
    API_KEY: XXQAoHgKKoHBKOURrUU2RqU+ki8XyqmTjz+ns+MEWp5Kx3hQBpgSQgATFQ5yRdW4m1TLNqNRIdHIqVJi8tn8jFrtlHIEouOzNDe/ASlOT0ZQBfl9Rf7xlvOHAa667poBq2hEoMNvOclxUQ==
    API_URL: YYQAoHgKKklo08ZsQF+/8M2bmi9nhWEtb6klyY4rNthUhSIhQ8oSQQATFQ5ywKOxaM/TLwGDmvMtCpl/1stXOOK0kgy42yipYbw/J/QZL68bMat1u4H3Hvp/GMbUVIKEb9jwUtN2xvbL

我希望secretEnv: ['API_KEY', 'API_URL'] 可以使解密后的值可以在应用引擎的代码 (process.env.API_KEY) 中访问。

Answer 1

这里有一个full tutorial，介绍如何在您的云构建（触发器）设置中安全地存储环境变量并将它们导入到您的应用中。

基本上分为三个步骤：

1. 将您的环境变量添加到您的构建触发器设置之一中的“变量”部分

   Screenshot of where to add variables in build triggers

   按照惯例，在构建触发器中设置的变量必须以下划线 (_) 开头

2. 配置cloudbuild.yaml（在代码示例的第二步中）从构建触发器中读取变量，将它们设置为环境变量，并将所有环境变量写入本地 .env 文件中

   将couldbuild.yaml（下）添加到您的项目根目录

steps:
- name: node:10.15.1
  entrypoint: npm
  args: ["install"]
- name: node:10.15.1
  entrypoint: npm
  args: ["run", "create-env"]
  env:
    - 'MY_SECRET_KEY=${_MY_SECRET_KEY}'
- name: "gcr.io/cloud-builders/gcloud"
  args: ["app", "deploy"]
timeout: "1600s"

将create-env 脚本添加到package.json

"scripts": {
  "create-env": "printenv > .env"
},

1. 将环境变量从 .env 读取到您的应用 (config.js)

   安装 dotenv 包

   npm i dotenv -S

   在您的应用中添加config.js

// Import all env vars from .env file
require('dotenv').config()

export const MY_SECRET_KEY = process.env.MY_SECRET_KEY

console.log(MY_SECRET_KEY) // => Hello

完成！现在您可以通过触发云构建来部署您的应用，您的应用将可以访问环境变量。

Answer 2

在您的 cloudbuild.yaml 中添加云触发步骤以在您的 app.yaml 文件中添加占位符

    steps:
    - name: "gcr.io/cloud-builders/gcloud"
      secretEnv: ['API_KEY','API_URL']
      entrypoint: 'bash'   args: 
      - -c
      - |
        echo $'\n  API_KEY: '$$API_KEY >> app.yaml
        echo $'\n  API_URL: '$$API_URL >> app.yaml
        gcloud app deploy
    availableSecrets:   secretManager:
      - versionName: projects/012345678901/secrets/API_KEY
        env: 'API_KEY'
      - versionName: projects/012345678901/secrets/API_URL
        env: 'API_URL'

看看下面的参考 app.yaml

runtime: nodejs
service: serviceone
env_variables:
  PROJECT_ID: demo
  PORT: 8080

参考：https://stackoverflow.com/users/13763858/cadet