如何在 Google App Engine 中设置环境变量/应用程序机密

Question

问题是如何设置应用程序机密以使其在application.yml中可用？

在 heroku 上，我只是通过为 dyno 设置环境变量来完成它，并将其访问为：

server:
  port: ${PORT}
security:
  user:
    password: ${USERPASSWORD}

eureka:
  client:
    register-with-eureka: false
    fetch-registry: false
  instance:
    hostname: localhost
    securePortEnabled: true
  password: ${EUREKAPASSWORD}

如何在 Google App Engine 中实现这一点？我正在尝试使用datastore：

不幸的是，我不知道如何将这些值注入到我的 *.yml 文件中。

编辑：

还有一件更重要的事情要补充。我正在使用 maven appengine 插件通过 CI 管道部署我的应用程序，因此我无法将 app.yaml 文件推送到 App Engine

Answer 1

最好和最安全的方法是使用 GCP KMS 或一些第三方机密管理器产品，例如 vault。

GCP 知识管理系统

1. 我们需要使用具有加解密权限（角色）的服务帐号来加密凭证（秘密）文件。
2. 将加密的凭证文件上传到 GCS
3. 从 GCS 获取加密的凭据并在运行时在您的应用程序代码中对其进行解密和解析（例如解析为纯 java 对象）。

数据存储

是的。我们可以将凭证/秘密环境变量存储到数据存储中，并在运行时在应用程序代码中获取它们。

优点：

1. 简单
2. 几乎可以在任何地方使用，GAE标准环境、GAE柔性环境、GCE、GCF、GKE、Cloud Run。

缺点：

1. 安全性不如 KMS。

GCE 元数据

我曾经使用 GCE 元数据服务器来存储我的秘密环境变量。

优点：

1. 支持GAE、GCE、GKE。

2. 非常简单。我们只需要发送 HTTP 请求到http://metadata.google.internal/computeMetadata/v1/ 端点来获取我们的自定义元数据（秘密环境变量）。

缺点：

1. 去年，GCE 元数据不支持 Cloud Function。 （运行时：nodejs10）。我无法从云函数中的 GCE 元数据中获取我的自定义机密环境变量。但是可以获取内置元数据，例如projectId。

2. 安全性不如 KMS。

configmap 和 secrets（仅适用于 GKE）

可以进行简单的 base64 加密。使用难度中等。安全性不如 KMS。

另一种破解方式

我也在这里为这个问题创建一个帖子：How to pass system environment variables to app.yaml?

是的，Linux 脚本方式无所不能。但我不喜欢这些 hack 方式。

Answer 2

Google 还有一个关于如何存储加密机密的教程。 https://cloud.google.com/kms/docs/store-secrets

TLDR：用于存储加密机密的单独存储桶，实例在需要时下载它，使用 Google KMS (https://cloud.google.com/kms/) 解密并随后删除。

Answer 3

如果您想存储应用程序在运行时可用的秘密，将它们保存在数据存储区中并不是一个坏主意。我知道有很多应用可以做到这一点。

这是一个app used by the Khan Academy，它是在数据存储中存储秘密凭据的一个很好的例子。它是用 Python 编写的，但您可以大致了解一下。请注意，在 first admin login 上，它会提示您输入要存储的秘密。