アプリケーションの Secret を管理する

このページでは、Cloud Deploy を使用して Google Kubernetes Engine または GKE Enterprise クラスタにデプロイするアプリケーションの Secret を管理するためのベストプラクティスについて説明します。

アプリケーションの Secret をデプロイアーティファクトに挿入するとセキュリティリスクが生じるため、Cloud Deploy パイプライン内から Secret を管理しないでください。

この方法で使用された Secret は、Cloud Deploy の範囲外で生成、管理、ローテーションが行われる必要があります。

ここでの Secret とは、データベース認証情報、API キー、証明書、パスワードなどの機密データを指します。

Kubernetes Secret

Kubernetes Secret は、Pod とは別に、パスワード、OAuth トークン、SSH 認証鍵などの機密データをクラスタに格納する安全なオブジェクトです。Secret は ConfigMap に似ていますが、機密データを保持することを目的としています。

Kubernetes Secret は、デフォルトでは暗号化されていないため、このドキュメントで説明するアプローチでは使用されません。

このセクションでは、Cloud Deploy を使用してデプロイするアプリケーションの Secret を管理する方法について説明します。

GKE または GKE Enterprise を使用してシークレットを管理するには、次の 2 つの方法があります。

Secret Manager は、API キー、パスワード、その他の機密データを安全に保存する、フルマネージドのマルチリージョン Google Cloud サービスです。

Secret Manager の Secret には、クライアントライブラリと Workload Identity 認証を使用するか、Secrets Store CSI ドライバを使用してアクセスできます。

アプリケーションで Secret Manager を使用するには:

環境変数（Secret のバージョンなど）やアプリケーション環境（開発環境、ステージング環境、本番環境など）を使用して、環境の追加メタデータを指定できます。

特定の機能のデプロイプロセスにインフラストラクチャのプロビジョニングが含まれている場合は、アプリケーションをデプロイする前に、プロビジョニングプロセスの一環として Secret Manager を使用して Secret を作成または更新します。

Secret Manager で GKE Secret を管理する方法については、他のプロダクトでの Secret Manager の使用をご覧ください。

Hashicorp Vault は、Secret を管理するための人気の高いオープンソースのツールです。Google Cloud には、Terraform などの他の Hashicorp ツールとともに、Vault との幅広い統合とサポートが用意されています。

Kubernetes クラスタ内で Vault を構成するには、次のようにします。