Für die Abhängigkeiten Ihres Dienstes sind möglicherweise API-Schlüssel, Passwörter, Zertifikate oder andere vertrauliche Informationen erforderlich. Für Cloud Run empfiehlt Google, diese vertraulichen Informationen in einem Secret zu speichern, das Sie in Secret Manager erstellen.
Sie können ein Secret für Ihre Container auf eine der folgenden Arten verfügbar machen:
- Wenn Sie jedes Secret als Volume bereitstellen, stellt Cloud Run das Secret dem Container als Dateien zur Verfügung. Beim Lesen eines Volumes ruft Cloud Run immer den Secret-Wert aus Secret Manager ab, um den Wert mit der neuesten Version zu verwenden. Diese Methode funktioniert auch gut mit der Secret-Rotation.
- Übergeben Sie ein Secret mithilfe von Umgebungsvariablen.
Umgebungsvariablen werden beim Starten der Instanz aufgelöst. Wenn Sie diese Methode verwenden, empfiehlt Google, dass Sie das Secret auf eine bestimmte Version statt auf
latest
setzen.
Weitere Informationen finden Sie unter Best Practices für Secret Manager.
So werden Secrets bei der Bereitstellung und zur Laufzeit geprüft
Während der Dienstbereitstellung prüft Cloud Run alle verwendeten Secrets. Mit der Prüfung wird sichergestellt, dass das Dienstkonto, mit dem der Container ausgeführt wird, die Berechtigung hat, auf diese Secrets zuzugreifen.
Während der Laufzeit beim Start von Instanzen:
- Wenn das Secret eine Umgebungsvariable ist, ruft Cloud Run den Wert des Secrets vor dem Starten der Instanz ab. Wenn der Secret-Abruf fehlschlägt, wird die Instanz nicht gestartet.
- Wenn Sie das Secret als Volume bereitstellen, führt Cloud Run beim Start der Instanz keine Prüfungen durch. Während der Laufzeit schlägt jedoch der Zugriff auf ein bereitgestelltes Volume fehl, wenn auf ein Secret nicht zugegriffen werden kann.
Volume-Inhaberschaft
Die Inhaberschaft eines Cloud Run-Secret-Volumes variiert je nach Ausführungsumgebung und Bereitstellungstyp.
Wenn Sie ein Volume eines Secrets bereitstellen, unterscheidet sich die Identität der Dateien und Verzeichnisse je nach Ausführungsumgebung der Arbeitslast und ob die Bereitstellung aus einem oder mehreren Containern besteht.
In der Ausführungsumgebung der ersten Generation, in der Sie einen einzelnen Container bereitstellen, gehört das Secret-Volume der Identität, die Sie für den Container verwenden. In allen anderen Fällen gehört das Volume dem Root. Dazu zählen:
- Ausführungsumgebung der ersten Generation, in der Sie mehrere Container bereitstellen
- Die Umgebung der zweiten Generation
Vorbereitung
-
Enable the Secret Manager API.
Roles required to enable APIs
To enable APIs, you need the Service Usage Admin IAM role (
roles/serviceusage.serviceUsageAdmin
), which contains theserviceusage.services.enable
permission. Learn how to grant roles. - Verwenden Sie ein vorhandenes Secret oder erstellen Sie ein Secret in Secret Manager, wie unter Secret erstellen beschrieben.
Erforderliche Rollen
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zur Konfiguration von Secrets benötigen:
-
Cloud Run Admin (
roles/run.admin
) im Cloud Run-Job -
Dienstkontonutzer (
roles/iam.serviceAccountUser
) für die Dienstidentität
Damit Cloud Run auf das Secret zugreifen kann, muss die Dienstidentität die folgende Rolle haben:
- Zugriffsperson für Secret Manager-Secret (
roles/secretmanager.secretAccessor
)
Eine Anleitung zum Hinzufügen des Dienstidentitätshauptkontos zur Rolle „Secret Manager Secret Accessor“ finden Sie unter Zugriff auf Secrets verwalten.
Eine Liste der IAM-Rollen und -Berechtigungen im Zusammenhang mit Cloud Run finden Sie unter IAM-Rollen für Cloud Run und IAM-Berechtigungen für Cloud Run. Wenn Ihr Cloud Run-Dienst mitGoogle Cloud -APIs wie Cloud-Clientbibliotheken verknüpft ist, lesen Sie die Konfigurationsanleitung für Dienstidentitäten. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Bereitstellungsberechtigungen und Zugriff verwalten.
Secret für Cloud Run zugänglich machen
Jede Konfigurationsänderung führt zur Erstellung einer neuen Überarbeitung. Für nachfolgende Überarbeitungen gilt automatisch dieselbe Konfigurationseinstellung, sofern Sie sie nicht explizit aktualisieren.
Sie können ein Secret für Ihren Dienst über die Google Cloud Console, die Google Cloud CLI oder eine YAML-Datei bereitstellen, wenn Sie einen neuen Dienst bereitstellen oder einen vorhandenen Dienst aktualisieren und eine Überarbeitung bereitstellen. Klicken Sie auf den gewünschten Tab:
Konsole
Rufen Sie in der Google Cloud Console Cloud Run auf:
Wählen Sie im Menü Dienste aus und klicken Sie auf Container bereitstellen, um einen neuen Dienst zu konfigurieren. Füllen Sie die Seite mit den anfänglichen Diensteinstellungen aus und klicken Sie dann auf Container, Volumes, Netzwerk, Sicherheit, um die Seite zur Dienstkonfiguration zu maximieren.
Wenn Sie einen vorhandenen Dienst konfigurieren möchten, klicken Sie auf den Dienst und auf Neue Überarbeitung bearbeiten und bereitstellen.
Folgen Sie der Anleitung, um das Secret als Volume bereitzustellen oder als Umgebungsvariable freizugeben.
So machen Sie das Secret als Umgebungsvariable verfügbar:
- Klicken Sie auf den Tab Container.
- Klicken Sie auf dem Tab Variablen und Secrets auf Secret-Referenz.
- Geben Sie im Feld Name 1 den Namen der Umgebungsvariable ein.
- Wählen Sie in der Liste Secret das Secret aus, das Sie verwenden möchten.
- Wählen Sie in der Liste Version 1 die Version des Secrets aus, auf die verwiesen werden soll.
- Klicken Sie auf Fertig.
- Klicken Sie auf Erstellen oder Bereitstellen.
So stellen Sie ein Secret als Volume bereit:
- Klicken Sie auf den Tab Volumes und wählen Sie Volume hinzufügen aus.
- Wählen Sie in der Liste Volume-Typ die Option Secret aus.
- Geben Sie im Feld Volume name einen Namen ein oder übernehmen Sie den Standardnamen.
- Wählen Sie in der Liste Secret das Secret aus, das Sie verwenden möchten.
- Geben Sie im Feld Path 1 den Namen der Datei ein, die bereitgestellt werden soll.
- Wählen Sie in der Liste Version 1 die Version des Secrets aus, auf die verwiesen werden soll. Standardmäßig ist die neueste Version ausgewählt. Sie können bei Bedarf eine bestimmte Version auswählen.
- Klicken Sie auf Fertig.
- Wechseln Sie zum Tab Container, um das Secret im Container bereitzustellen.
- Klicken Sie auf dem Tab Volume-Bereitstellungen auf Volume bereitstellen.
- Wählen Sie in der Liste Name 1 den Namen des Volumes aus.
- Geben Sie im Feld Bereitstellungspfad 1 den Bereitstellungspfad für dieses Secret ein. In diesem Verzeichnis werden alle Versionen Ihres Secrets abgelegt.
- Klicken Sie auf Fertig.
- Klicken Sie auf Erstellen oder Bereitstellen.
gcloud
Geben Sie einen der folgenden Befehle ein, damit Ihr Dienst auf ein Secret zugreifen kann:
So stellen Sie das Secret beim Bereitstellen eines Dienstes als Volume bereit:
gcloud run deploy SERVICE --image IMAGE_URL \ --update-secrets=PATH=SECRET_NAME:VERSION
Ersetzen Sie Folgendes:
SERVICE
: der Name Ihres Dienstes.- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. PATH
: der Bereitstellungspfad des Volumes und der Dateiname des Secrets. Sie muss mit einem Schrägstrich beginnen, z. B./etc/secrets/dbconfig/password
, wobei/etc/secrets/dbconfig/
der Bereitstellungspfad des Volumes undpassword
der Dateiname des Secrets ist.SECRET_NAME
: der Secret-Name im selben Projekt, z. B.mysecret
.VERSION
: die Secret-Version. Verwenden Sielatest
für die neueste Version oder eine Zahl, z. B.2
.
So geben Sie das Secret beim Bereitstellen eines Dienstes als Umgebungsvariable an:
gcloud run deploy SERVICE \ --image IMAGE_URL \ --update-secrets=ENV_VAR_NAME=SECRET_NAME:VERSION
Ersetzen Sie Folgendes:
SERVICE
: der Name Ihres Dienstes.- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. ENV_VAR_NAME
: der Name der Umgebungsvariable, die Sie mit dem Secret verwenden möchten.SECRET_NAME
: der Secret-Name im selben Projekt, z. B.mysecret
.VERSION
: die Secret-Version. Verwenden Sielatest
für die neueste Version oder eine Zahl, z. B.2
.
Sie können mehrere Secrets gleichzeitig aktualisieren. Trennen Sie dazu die Konfigurationsoptionen für jedes Secret durch ein Komma. Mit dem folgenden Befehl wird ein Secret aktualisiert, das als Volume bereitgestellt wird, und ein weiteres Secret, das als Umgebungsvariable bereitgestellt wird.
Geben Sie den folgenden Befehl ein, um vorhandene Secrets zu aktualisieren:
gcloud run deploy SERVICE --image IMAGE_URL \ --update-secrets=PATH=SECRET_NAME:VERSION,ENV_VAR_NAME=SECRET_NAME:VERSION
Mit dem Flag
--set-secrets
können Sie vorhandene Secrets löschen und ein neues Secret für den Dienst zugänglich machen:gcloud run services update SERVICE \ --set-secrets="ENV_VAR_NAME=SECRET_NAME:VERSION"
YAML
Wenn Sie einen neuen Dienst erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Dienst aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:
gcloud run services describe SERVICE --format export > service.yaml
Für Secrets, die als Umgebungsvariablen bereitgestellt werden,
env
, aktualisieren Sie ENV_VAR, VERSION und/oder SECRET_NAME wunschgemäß. Wenn Sie mehrere Secrets als Umgebungsvariablen bereitgestellt haben, sind mehrere dieser Attribute vorhanden.apiVersion: serving.knative.dev/v1 kind: Service metadata: name: SERVICE spec: template: metadata: name: REVISION spec: containers: - image: IMAGE_URL env: - name: ENV_VAR valueFrom: secretKeyRef: key: VERSION name: SECRET_NAME
Aktualisieren Sie MOUNT_PATH, VOLUME_NAME, VERSION, FILENAME und/oder SECRET_NAME wie gewünscht für Secrets, die als Dateipfade bereitgestellt werden. Wenn Sie mehrere Secrets als Dateipfade bereitgestellt haben, sind mehrere dieser Attribute vorhanden.
apiVersion: serving.knative.dev/v1 kind: Service metadata: name: SERVICE spec: template: metadata: name: REVISION spec: containers: - image: IMAGE_URL volumeMounts: - mountPath: MOUNT_PATH name: VOLUME_NAME volumes: - name: VOLUME_NAME secret: items: - key: VERSION path: FILENAME secretName: SECRET_NAME
Beachten Sie, dass
VOLUME_NAME
auf einen beliebigen Namen gesetzt werden kann.Ersetzen Sie Folgendes:
- SERVICE: Der Name Ihres Cloud Run-Dienstes.
- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. - REVISION durch einen neuen Überarbeitungsnamen oder löschen (falls vorhanden). Wenn Sie einen neuen Überarbeitungsnamen angeben, muss er die folgenden Kriterien erfüllen:
- Beginnt mit
SERVICE-
- Enthält nur Kleinbuchstaben, Ziffern und
-
- Endet nicht mit
-
- Darf nicht mehr als 63 Zeichen enthalten
- Beginnt mit
Ersetzen Sie den Dienst mit dem folgenden Befehl durch die neue Konfiguration:
gcloud run services replace service.yaml
Terraform
Erstellen Sie ein Secret und eine Secret-Version.
Erstellen Sie ein Dienstkonto und gewähren Sie diesem Zugriff auf das Secret:
Auf Secret Manager-Secrets kann von Cloud Run aus als bereitgestellte Dateipfade oder als Umgebungsvariablen zugegriffen werden.
Verweisen Sie für Secrets, die als Dateipfade bereitgestellt werden, auf die Secret Manager-Ressource im
volumes
-Parameter.name
entspricht einem Eintrag imvolume_mounts
-Parameter:Verweisen Sie für Secrets, die als Umgebungsvariablen bereitgestellt werden, auf die Secret Manager-Ressource im
env
-Parameter:
Auf Secrets aus anderen Projekten verweisen
Wenn Sie auf ein Secret aus einem anderen Projekt verweisen möchten, prüfen Sie, ob das Dienstkonto Ihres Projekts Zugriff auf das Secret hat.
Konsole
Rufen Sie in der Google Cloud Console Cloud Run auf:
Wählen Sie im Menü Dienste aus und klicken Sie auf Container bereitstellen, um einen neuen Dienst zu konfigurieren. Füllen Sie die Seite mit den anfänglichen Diensteinstellungen aus und klicken Sie dann auf Container, Volumes, Netzwerk, Sicherheit, um die Seite zur Dienstkonfiguration zu maximieren.
Wenn Sie einen vorhandenen Dienst konfigurieren möchten, klicken Sie auf den Dienst und auf Neue Überarbeitung bearbeiten und bereitstellen.
Folgen Sie der Anleitung, um das Secret als Volume bereitzustellen oder als Umgebungsvariable freizugeben.
So machen Sie das Secret als Umgebungsvariable verfügbar:
- Klicken Sie auf den Tab Container.
- Klicken Sie auf dem Tab Variablen und Secrets auf Secret-Referenz.
- Geben Sie im Feld Name 1 den Namen der Umgebungsvariable ein.
- Klicken Sie in der Liste Secret auf Secret manuell eingeben.
Geben Sie die Ressourcen-ID des Secrets im folgenden Format ein:
projects/PROJECT_NUMBER/secrets/SECRET_NAME
Ersetzen Sie Folgendes:
PROJECT_NUMBER durch Ihre Google Cloud Projektnummer. Eine detaillierte Anleitung zum Ermitteln der Projektnummer finden Sie unter Projekte erstellen und verwalten.
SECRET_NAME: Der Name des Secrets im Secret Manager.
Wählen Sie in der Liste Version 1 die Version des Secrets aus, auf die verwiesen werden soll.
Klicken Sie auf Fertig.
Klicken Sie auf Erstellen oder Bereitstellen.
So stellen Sie ein Secret als Volume bereit:
- Klicken Sie auf den Tab Volumes und wählen Sie Volume hinzufügen aus.
- Wählen Sie in der Liste Volume-Typ die Option Secret aus.
- Geben Sie im Feld Volume name einen Namen ein oder übernehmen Sie den Standardnamen.
- Klicken Sie in der Liste Secret auf Secret manuell eingeben.
Geben Sie die Ressourcen-ID des Secrets im folgenden Format ein:
projects/PROJECT_NUMBER/secrets/SECRET_NAME
Ersetzen Sie Folgendes:
PROJECT_NUMBER durch Ihre Google Cloud Projektnummer. Eine detaillierte Anleitung zum Ermitteln der Projektnummer finden Sie unter Projekte erstellen und verwalten.
SECRET_NAME: Der Name des Secrets im Secret Manager.
Geben Sie im Feld Path 1 den Namen der Datei ein, die bereitgestellt werden soll.
Wählen Sie in der Liste Version 1 die Version des Secrets aus, auf die verwiesen werden soll. Standardmäßig ist die neueste Version ausgewählt. Sie können bei Bedarf eine bestimmte Version auswählen.
Klicken Sie auf Fertig.
Wechseln Sie zum Tab Container, um das Secret im Container bereitzustellen.
Klicken Sie auf dem Tab Volume-Bereitstellungen auf Volume bereitstellen.
Wählen Sie in der Liste Name 1 den Namen des Volumes aus.
Geben Sie im Feld Bereitstellungspfad 1 den Bereitstellungspfad für dieses Secret ein. In diesem Verzeichnis werden alle Versionen Ihres Secrets abgelegt.
Klicken Sie auf Fertig.
Klicken Sie auf Erstellen oder Bereitstellen.
gcloud
So stellen Sie ein Secret beim Bereitstellen eines Dienstes als Volume bereit:
gcloud run deploy SERVICE --image IMAGE_URL \ --update-secrets=PATH=projects/PROJECT_NUMBER/secrets/SECRET_NAME:VERSION
Ersetzen Sie Folgendes:
SERVICE
: der Name Ihres Dienstes.- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. PATH
: der Bereitstellungspfad des Volumes und der Dateiname des Secrets. Sie muss mit einem Schrägstrich beginnen, z. B./etc/secrets/dbconfig/password
, wobei/etc/secrets/dbconfig/
der Bereitstellungspfad des Volumes undpassword
der Dateiname des Secrets ist.PROJECT_NUMBER
durch die Projektnummer des Projekts, in dem das Secret erstellt wurde.SECRET_NAME
: der Name des Secrets, z. B.mysecret
.VERSION
mit der Secret-Version. Verwenden Sielatest
für die neueste Version oder eine Zahl, z. B.2
.
YAML
Wenn Sie einen neuen Dienst erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Dienst aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:
gcloud run services describe SERVICE --format export > service.yaml
Aufgrund von Einschränkungen zur API-Kompatibilität müssen die Secret-Standorte in einer Annotation gespeichert werden.
Für Secrets, die als Umgebungsvariablen bereitgestellt werden:
apiVersion: serving.knative.dev/v1 kind: Service metadata: name: SERVICE spec: template: metadata: annotations: run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME spec: containers: - image: IMAGE_URL env: - name: ENV_VAR valueFrom: secretKeyRef: key: VERSION name: SECRET_LOOKUP_NAME
Ersetzen Sie Folgendes:
SERVICE
: der Name Ihres Dienstes.- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. ENV_VAR
PROJECT_NUMBER
: die Projektnummer des Projekts, in dem das Secret erstellt wurde.SECRET_NAME
: der Name des Secrets, z. B.mysecret
.VERSION
: die Secret-Version. Verwenden Sielatest
für die neueste Version oder eine Zahl, z. B.2
.SECRET_LOOKUP_NAME
: ein beliebiger Name mit einer gültigen Syntax für Secret-Namen, z. B.my-secret
. Dieser kannSECRET_NAME
entsprechen.
Für Secrets, die als Dateipfade bereitgestellt werden:
apiVersion: serving.knative.dev/v1 kind: Service metadata: name: SERVICE spec: template: metadata: annotations: run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME spec: containers: - image: IMAGE_URL volumeMounts: - mountPath: MOUNT_PATH name: VOLUME_NAME volumes: - name: VOLUME_NAME secret: items: - key: VERSION path: FILENAME secretName: SECRET_LOOKUP_NAME
Ersetzen Sie Folgendes:
SERVICE
: der Name Ihres Dienstes.- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. PATH
: der Bereitstellungspfad des Volumes und der Dateiname des Secrets. Sie muss mit einem Schrägstrich beginnen, z. B./etc/secrets/dbconfig/password
, wobei/etc/secrets/dbconfig/
der Bereitstellungspfad des Volumes undpassword
der Dateiname des Secrets ist.PROJECT_NUMBER
: die Projektnummer des Projekts, in dem das Secret erstellt wurde.SECRET_NAME
: der Name des Secrets, z. B.mysecret
.VERSION
: die Secret-Version. Verwenden Sielatest
für die neueste Version oder eine Zahl, z. B.2
.SECRET_LOOKUP_NAME
: ein beliebiger Name mit einer gültigen Syntax für Secret-Namen, z. B.my-secret
. Dieser kannSECRET_NAME
entsprechen.VOLUME_NAME
: ein beliebiger Name, z. B.my-volume
. Er kann mitSECRET_NAME
identisch sein.
Terraform
Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.
Fügen Sie einergoogle_cloud_run_v2_service
-Ressource in Ihrer Terraform-Konfiguration Folgendes hinzu:Für Secrets, die als Umgebungsvariablen bereitgestellt werden:
resource "google_cloud_run_v2_service" "default" {
name = "SERVICE_NAME"
location = "REGION"
template {
containers {
image = "IMAGE_URL"
env {
name = "SECRET_NAME"
value_source {
secret_key_ref {
secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
version = "VERSION"
}
}
}
}
}
}
Ersetzen Sie Folgendes:
- SERVICE_NAME: Der Name Ihres Cloud Run-Jobs.
- REGION: die Google Cloud Region. Beispiel:
europe-west1
. - IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. - SECRET_NAME: Der Name des Secrets, z. B.
mysecret
. - PROJECT_ID: die Projekt-ID des Projekts, in dem das Secret erstellt wurde.
- VERSION: die Secret-Version. Verwenden Sie
latest
für die neueste Version oder eine Zahl, z. B.2
.
Für Secrets, die als Dateipfade bereitgestellt werden:
resource "google_cloud_run_v2_service" "default" {
name = "SERVICE_NAME"
location = "REGION"
template {
containers {
image = "IMAGE_URL"
volume_mounts {
name = "VOLUME_NAME"
mount_path = "MOUNT_PATH"
}
}
volumes {
name = "VOLUME_NAME"
secret {
secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
}
}
}
}
Ersetzen Sie Folgendes:
- SERVICE_NAME: Der Name Ihres Cloud Run-Jobs.
- REGION durch die Google Cloud Region. Beispiel:
europe-west1
. - IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. - VOLUME_NAME: ein beliebiger Name, z. B.
my-volume
. Er kann mitSECRET_NAME
identisch sein. - MOUNT_PATH: der Bereitstellungspfad des Volumes und der Dateiname des Secrets. Sie muss mit einem Schrägstrich beginnen, z. B.
/etc/secrets/dbconfig/password
, wobei/etc/secrets/dbconfig/
der Bereitstellungspfad des Volumes undpassword
der Dateiname des Secrets ist. - PROJECT_ID: die Projekt-ID des Projekts, in dem das Secret erstellt wurde.
- SECRET_NAME: Der Name des Secrets, z. B.
mysecret
.
Einstellungen für Secrets aufrufen
So rufen Sie die aktuellen Secret-Einstellungen für Ihren Cloud Run-Dienst auf:
Konsole
Rufen Sie in der Google Cloud Console Cloud Run auf:
Klicken Sie auf den gewünschten Dienst, um die Seite Dienstdetails zu öffnen.
Klicken Sie auf den Tab Überarbeitungen.
Im Detailbereich auf der rechten Seite ist die Secrets-Einstellung auf dem Tab Container aufgelistet.
gcloud
Verwenden Sie den folgenden Befehl:
gcloud run services describe SERVICE
Suchen Sie in der zurückgegebenen Konfiguration nach der Einstellung für Secrets.
Secrets aus einem Dienst entfernen
Sie können Secrets aus einem Dienst mithilfe der Google Cloud -Konsole oder der gcloud CLI entfernen:
Console
Rufen Sie in der Google Cloud Console Cloud Run auf:
Wählen Sie Ihren Dienst in der Liste aus und klicken Sie auf Neue Überarbeitung bearbeiten und bereitstellen.
Klicken Sie auf den Tab Container.
Wenn Sie Secrets löschen möchten, die als Volume bereitgestellt wurden, wählen Sie den Tab Volumebereitstellungen aus, bewegen Sie den Mauszeiger auf das Secret, das Sie entfernen möchten, und klicken Sie dann auf
Löschen.Wenn Sie Secrets löschen möchten, die als Umgebungsvariable bereitgestellt werden, wählen Sie den Tab Variablen und Secrets aus, bewegen Sie den Mauszeiger auf das Secret, das Sie entfernen möchten, und klicken Sie dann auf
Löschen.Klicken Sie auf Bereitstellen.
gcloud
Sie können alle Secrets aus einem Dienst entfernen oder ein oder mehrere Secrets angeben, die entfernt werden sollen:
Führen Sie den folgenden Befehl aus, um alle Secrets zu entfernen:
gcloud run deploy SERVICE --image IMAGE_URL \ --clear-secrets
Ersetzen Sie Folgendes:
- SERVICE: der Name Ihres Dienstes.
- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
.
Mit dem Flag
--remove-secrets
geben Sie eine Liste der zu entfernenden Secrets an. Mit dem folgenden Befehl wird ein Secret gelöscht, das als Volume bereitgestellt wird, und ein weiteres Secret, das als Umgebungsvariable freigegeben wird.gcloud run deploy SERVICE --image IMAGE_URL \ --remove-secrets=ENV_VAR_NAME,SECRET_FILE_PATH
Ersetzen Sie Folgendes:
- SERVICE: der Name Ihres Dienstes.
- IMAGE_URL: ein Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat das FormatLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. - ENV_VAR_NAME: Der Name der Umgebungsvariablen.
SECRET_FILE_PATH: der vollständige Pfad des Secrets. Beispiel:
/mnt/secrets/primary/latest
, wobei/mnt/secrets/primary/
der Bereitstellungspfad undlatest
der Pfad des Secrets ist. Sie können auch die Bereitstellungspfade und die Pfade des Secrets separat angeben:--set-secrets MOUNT_PATH:SECRET_PATH=SECRET:VERSION
Secrets in Ihrem Code verwenden
Beispiele für den Zugriff auf Secrets in Ihrem Code als Umgebungsvariablen finden Sie in der Anleitung zur Endnutzerauthentifizierung, insbesondere im Abschnitt Vertrauliche Konfigurationen mit Secret Manager verarbeiten.
Unzulässige Pfade und Einschränkungen
Für das Einbinden von Secrets gelten die folgenden Einschränkungen:
- Mit Cloud Run können Sie keine Secrets unter
/dev
,/proc
und/sys
oder in ihren Unterverzeichnissen bereitstellen. - Wenn Sie Secrets unter
/tmp
bereitstellen und die Ausführungsumgebung der ersten Generation verwenden, lesen Sie die Informationen zum bekannten Problem unter Secrets unter/tmp
bereitstellen. - Mit Cloud Run können Sie nicht mehrere Secrets auf demselben Pfad bereitstellen, da zwei Volume-Bereitstellungen nicht an demselben Speicherort bereitgestellt werden können.
Verzeichnis überschreiben
Wenn das Secret als Volume in Cloud Run bereitgestellt wird und das letzte Verzeichnis im Volume-Bereitstellungspfad bereits vorhanden ist, sind alle Dateien oder Ordner im vorhandenen Verzeichnis nicht mehr zugänglich.
Wenn z. B. ein Secret mit dem Namen my-secret
im Pfad /etc/app_data
bereitgestellt wird, wird der gesamte Inhalt im Verzeichnis app_data
überschrieben und die einzige sichtbare Datei ist /etc/app_data/my-secret
.
Um das Überschreiben von Dateien in einem vorhandenen Verzeichnis zu vermeiden, erstellen Sie ein neues Verzeichnis für die Bereitstellung des Secrets, z. B. /etc/app_data/secrets
, sodass der Bereitstellungspfad für das Secret /etc/app_data/secrets/my-secret
lautet.