Löschen von Versionen regionaler Secrets verzögern

Auf dieser Seite wird beschrieben, wie Sie das verzögerte Löschen von Secret-Versionen einrichten, die Verzögerungszeit für das Löschen aktualisieren oder entfernen und Secret-Versionen wiederherstellen, die zum Löschen geplant sind.

Wenn ein Nutzer eine Secret-Version in Secret Manager löschen möchte, wird das Secret-Material standardmäßig sofort und endgültig gelöscht. Nutzer mit der Rolle „Secret Manager Admin“ können jedoch ein verzögertes Löschen von Secret-Versionen einrichten. Dadurch wird sichergestellt, dass die Secret-Version nicht sofort auf Anfrage gelöscht wird und für eine konfigurierbare Dauer wiederhergestellt werden kann.

Wenn die verzögerte Vernichtung für das Secret aktiviert ist und Sie eine Secret-Version löschen, geschieht Folgendes:

• Die Version ist deaktiviert und kann daher nicht verwendet werden.

• Das System plant das endgültige Löschen der Version am Ende des Verzögerungszeitraums.

• Nach Ablauf der Verzögerungszeit wird die Secret-Version endgültig und unwiderruflich gelöscht.

Vorteile

Diese Funktion bietet folgende Vorteile:

• Eine zusätzliche Schutzebene vor versehentlichem oder böswilligem Vernichten von kritischen geheimen Materialien. Jeder Nutzer mit der Rolle Secret Manager Secret Version Manager kann eine Secret-Version löschen. Diese Aktion kann nicht rückgängig gemacht werden. Wenn Sie das verzögerte Löschen einrichten, können Sie verhindern, dass Secret-Versionen sofort gelöscht werden. Sie können Nutzern den Mindestzugriff gewähren, der zum Verwalten des Lebenszyklus von Secret-Versionen erforderlich ist, damit Sie die versehentliche Zerstörung sensibler Daten überwachen und verhindern können.

• Wenn eine Secret-Version gelöscht wird, wird eine SECRET_VERSION_DESTROY_SCHEDULED-Benachrichtigung an die für das Secret konfigurierten Pub/Sub-Themen gesendet. Nutzer mit der Rolle „Secret Manager Admin“ können die geplante Vernichtung abbrechen und die Secret-Version wiederherstellen, indem sie die Secret-Version entweder aktivieren oder deaktivieren.

Hinweise

1. Enable the Secret Manager API.

   Enable the API

2. Richten Sie die Authentifizierung ein.

   Select the tab for how you plan to use the samples on this page:

   Console

   When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

   gcloud

   In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

   REST

   Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.

   Install the Google Cloud CLI, then initialize it by running the following command:

   gcloud init

   Weitere Informationen finden Sie unter Für die Verwendung von REST authentifizieren in der Dokumentation zur Google Cloud-Authentifizierung.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Secret Manager Admin (roles/secretmanager.admin) für ein Secret zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Einrichten der verzögerten Vernichtung von Secret-Versionen benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Verzögertes Löschen einrichten

Sie können das verzögerte Löschen einer Secret-Version beim Erstellen oder Aktualisieren des Secrets aktivieren. Sie haben folgende Möglichkeiten, die verzögerte Vernichtung einzurichten:

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

   Zu Secret Manager

2. Klicken Sie auf der Seite Secret Manager auf den Tab Regionale Secrets und dann auf Regionales Secret erstellen.

3. Geben Sie auf der Seite Regionales Secret erstellen im Feld Name einen Namen für das Secret ein.

4. Geben Sie einen Wert für das Secret ein (z. B. abcd1234). Sie können auch eine Textdatei mit dem Secret-Wert über die Option Datei hochladen hochladen. Dadurch wird die Secret-Version automatisch erstellt.

5. Wählen Sie in der Liste Region den Speicherort für das regionale Secret aus.

6. Gehen Sie zu Verzögertes Löschen von Secret-Versionen und klicken Sie das Kästchen Dauer für verzögertes Löschen festlegen an.

7. Geben Sie im Feld Dauer der Löschverzögerung die Dauer in Tagen ein. Der Mindestwert ist 1 Tag und der Höchstwert 1.000 Tage.

8. Klicken Sie auf Secret erstellen.

   Wenn Sie diese Funktion für ein vorhandenes Secret aktivieren möchten, rufen Sie die Seite Secret bearbeiten auf und konfigurieren Sie die Dauer der Vernichtungsverzögerung.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret.
• LOCATION: den Speicherort des Geheimnisses in Google Cloud.
• TTL_DURATION: Dauer der Verzögerung beim Löschen der Secret-Versionen. Sie können die Dauer in einem beliebigen Format eingeben, z. B. in Tagen, Stunden oder Sekunden. Die Mindestdauer beträgt 1 Tag, die maximale Dauer kann auf 1.000 Tage festgelegt werden.

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets create SECRET_ID --location=LOCATION --version-destroy-ttl=TTL_DURATION

Windows (PowerShell)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets create SECRET_ID --location=LOCATION --version-destroy-ttl=TTL_DURATION

Windows (cmd.exe)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets create SECRET_ID --location=LOCATION --version-destroy-ttl=TTL_DURATION

Die Antwort enthält das neu erstellte Secret.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• LOCATION: den Speicherort des Geheimnisses in Google Cloud.
• PROJECT_ID: die Google Cloud-Projekt-ID.
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret.
• TTL_DURATION: Dauer der Verzögerung beim Löschen der Secret-Versionen. Geben Sie die Dauer in Sekunden ein. Die Mindestdauer beträgt 1 Tag, die maximale Dauer kann auf 1.000 Tage festgelegt werden.

HTTP-Methode und URL:

POST https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets?secretId=SECRET_ID

JSON-Text der Anfrage:

{
  "version_destroy_ttl":"TTL_DURATION"
}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets?secretId=SECRET_ID"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets?secretId=SECRET_ID" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T06:34:32.995517Z",
  "etag": "\"1621455df3febd\"",
  "versionDestroyTtl": "TTL_DURATION"
}

Die verzögerte Vernichtung gilt nicht in den folgenden Fällen:

• Wenn ein Secret gelöscht wird, werden alle geheimen Materialien und zugehörigen Secret-Versionen sofort gelöscht.

• Wenn für das Secret ein Ablaufdatum festgelegt ist und es abläuft, werden alle Secret-Versionen sofort gelöscht, auch wenn das verzögerte Löschen für das Secret aktiviert ist.

Dauer der Löschverzögerung aktualisieren

Sie haben folgende Möglichkeiten, die Dauer der Vernichtungsverzögerung zu aktualisieren:

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

   Zu Secret Manager

2. Klicken Sie auf der Seite Secret Manager auf den Tab Regionale Secrets.

3. Sie haben folgende Möglichkeiten, ein Secret zu bearbeiten:

   • Klicken Sie für das Geheimnis, das Sie bearbeiten möchten, auf Aktionen und dann auf Bearbeiten.

   • Klicken Sie auf den Namen des Secrets, um die Detailseite aufzurufen. Klicken Sie auf der Seite mit den Secret-Details auf Secret bearbeiten.

4. Gehen Sie auf der Seite Secret bearbeiten zum Abschnitt Löschen der Secret-Version verzögern. Aktualisieren Sie die Verzögerungsdauer nach Bedarf und klicken Sie dann auf Secret aktualisieren.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• LOCATION: den Speicherort des Geheimnisses in Google Cloud
• TTL_DURATION: Dauer der Verzögerung beim Löschen der Secret-Versionen

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets update SECRET_ID --location=LOCATION --version-destroy-ttl=TTL_DURATION

Windows (PowerShell)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets update SECRET_ID --location=LOCATION --version-destroy-ttl=TTL_DURATION

Windows (cmd.exe)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets update SECRET_ID --location=LOCATION --version-destroy-ttl=TTL_DURATION

Die Antwort enthält das neu erstellte Secret.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• LOCATION: den Speicherort des Geheimnisses in Google Cloud
• PROJECT_ID: die Google Cloud-Projekt-ID
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• TTL_DURATION: Dauer der Verzögerung beim Löschen der Secret-Versionen

HTTP-Methode und URL:

PATCH https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID?updateMask=version_destroy_ttl

JSON-Text der Anfrage:

{
  "version_destroy_ttl":"TTL_DURATION"
}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID?updateMask=version_destroy_ttl"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T06:34:32.995517Z",
  "etag": "\"16214561a80d09\"",
  "versionDestroyTtl": "TTL_DURATION"
}

Welche Secret-Versionen von der Dauer der Vernichtungsverzögerung betroffen sind, hängt von Folgendem ab:

• Wenn das verzögerte Löschen zum ersten Mal für das Secret festgelegt wird, wirkt sich die Dauer der Verzögerung auf alle aktiven (aktivierten und deaktivierten) Versionen des Secrets aus.

• Wenn die Dauer der Verzögerung vor dem Löschen aktualisiert oder entfernt wird, wirken sich die Änderungen nur auf neue Secret-Versionen aus, bei denen die Löschaktion versucht wird. Die Secret-Versionen, die bereits zum Löschen vorgemerkt sind, werden weiterhin zum geplanten Zeitpunkt gelöscht.

Verzögertes Löschen deaktivieren

Sie haben folgende Möglichkeiten, die verzögerte Vernichtung von Versionen zu deaktivieren:

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

   Zu Secret Manager

2. Klicken Sie auf der Seite Secret Manager auf den Tab Regionale Secrets.

3. Sie haben folgende Möglichkeiten, ein Secret zu bearbeiten:

   • Klicken Sie für das Geheimnis, das Sie bearbeiten möchten, auf Aktionen und dann auf Bearbeiten.

   • Klicken Sie auf den Namen des Secrets, um die Detailseite aufzurufen. Klicken Sie auf der Seite mit den Secret-Details auf Secret bearbeiten.

4. Gehen Sie auf der Seite Secret bearbeiten zu Löschen der Secret-Version verzögern. Entfernen Sie das Häkchen aus dem Kästchen Dauer der Löschverzögerung festlegen und klicken Sie dann auf Secret aktualisieren.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• LOCATION: den Speicherort des Geheimnisses in Google Cloud

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets update SECRET_ID --location=LOCATION --remove-version-destroy-ttl

Windows (PowerShell)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets update SECRET_ID --location=LOCATION --remove-version-destroy-ttl

Windows (cmd.exe)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets update SECRET_ID --location=LOCATION --remove-version-destroy-ttl

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• LOCATION: den Speicherort des Geheimnisses in Google Cloud
• PROJECT_ID: die Google Cloud-Projekt-ID
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret

HTTP-Methode und URL:

PATCH https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID?updateMask=version_destroy_ttl

JSON-Text der Anfrage:

{}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID?updateMask=version_destroy_ttl"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID",
  "createTime": "2024-09-04T06:34:32.995517Z",
  "etag": "\"16214564f18f19\""
}

Löschen von Secret-Versionen verzögern

Sie haben folgende Möglichkeiten, eine Secret-Version für das verzögerte Löschen zu planen:

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

   Zu Secret Manager

2. Klicken Sie auf der Seite Secret Manager auf den Tab Regionale Secrets und dann auf ein Secret, um auf seine Versionen zuzugreifen. Das verzögerte Löschen von Versionen muss für dieses Secret konfiguriert werden.

3. Wählen Sie auf der Seite mit den Secret-Details auf dem Tab Versionen die Secret-Version aus, die Sie löschen möchten.

4. Klicken Sie auf Aktionen und dann auf Vernichten.

5. Geben Sie im angezeigten Bestätigungsdialogfeld die Secret-ID ein, um sie zu bestätigen, und klicken Sie dann auf Ausgewählte Versionen zum Löschen vormerken.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• SECRET_VERSION_ID: die ID der Version oder die voll qualifizierte Kennzeichnung für die Version
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• LOCATION: den Speicherort des Geheimnisses in Google Cloud

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions destroy SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Windows (PowerShell)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions destroy SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Windows (cmd.exe)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions destroy SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• LOCATION: den Speicherort des Geheimnisses in Google Cloud
• PROJECT_ID: die Google Cloud-Projekt-ID
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• VERSION_ID: die ID der Version oder die voll qualifizierte Kennzeichnung für die Version

HTTP-Methode und URL:

POST https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:destroy

JSON-Text der Anfrage:

{}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:destroy"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:destroy" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "name": "projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID",
  "createTime": "2024-09-04T06:41:57.859674Z",
  "state": "DISABLED",
  "etag": "\"16214579184a2c\"",
  "scheduledDestroyTime": "2024-09-05T13:15:28.357251843Z"
}

Die Secret-Version wird sofort deaktiviert und zum Löschen nach Ablauf der Verzögerungszeit für das Löschen eingeplant. Das genaue Datum und die genaue Uhrzeit, zu der die Version gelöscht wird, sehen Sie in der Tabelle Versionen in der Spalte Zum Löschen geplant am.

Secret-Versionen wiederherstellen

Sie können eine Secret-Version, die zum Löschen vorgemerkt wurde, wiederherstellen, indem Sie sie aktivieren oder deaktivieren.

Secret-Version aktivieren, die zum Löschen vorgemerkt wurde

Sie haben folgende Möglichkeiten, eine Secret-Version zu aktivieren, die zur Vernichtung geplant ist:

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

   Zu Secret Manager

2. Klicken Sie auf der Seite Secret Manager auf den Tab Regionale Secrets und dann auf ein Secret, um auf seine Versionen zuzugreifen.

3. Wählen Sie auf der Seite mit den Secret-Details auf dem Tab Versionen die Secret-Version aus, die gelöscht werden soll.

4. Klicken Sie auf Aktionen und dann auf Aktivieren.

5. Klicken Sie im angezeigten Bestätigungsdialogfeld auf Ausgewählte Versionen aktivieren.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• SECRET_VERSION_ID: die ID der Version oder die voll qualifizierte Kennzeichnung für die Version
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• LOCATION: den Speicherort des Geheimnisses in Google Cloud

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions enable SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Windows (PowerShell)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions enable SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Windows (cmd.exe)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions enable SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• LOCATION: den Speicherort des Geheimnisses in Google Cloud
• PROJECT_ID: die Google Cloud-Projekt-ID
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• VERSION_ID: die ID der Version oder die voll qualifizierte Kennzeichnung für die Version

HTTP-Methode und URL:

POST https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:enable

JSON-Text der Anfrage:

{}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:enable"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:enable" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "name": "projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID",
  "createTime": "2024-09-04T06:41:57.859674Z",
  "state": "ENABLED",
  "etag": "\"1621457b3c1459\""
}

Secret-Version deaktivieren, die zum Löschen vorgemerkt wurde

Sie haben folgende Möglichkeiten, eine Secret-Version zu deaktivieren, die zur Vernichtung geplant ist:

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf.

   Zu Secret Manager

2. Klicken Sie auf der Seite Secret Manager auf den Tab Regionale Secrets und dann auf ein Secret, um auf seine Versionen zuzugreifen.

3. Wählen Sie auf der Seite mit den Secret-Details auf dem Tab Versionen die Secret-Version aus, die gelöscht werden soll.

4. Klicken Sie auf Aktionen und dann auf Deaktivieren.

5. Klicken Sie im angezeigten Bestätigungsdialogfeld auf Ausgewählte Versionen deaktivieren.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

• SECRET_VERSION_ID: die ID der Version oder die voll qualifizierte Kennzeichnung für die Version
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• LOCATION: den Speicherort des Geheimnisses in Google Cloud

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions disable SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Windows (PowerShell)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions disable SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Windows (cmd.exe)

Hinweis: Prüfen Sie, ob die Google Cloud CLI mit Authentifizierung und einem Projekt initialisiert wurde. Führen Sie dazu gcloud init oder gcloud auth login und gcloud config set project aus.

gcloud secrets versions disable SECRET_VERSION_ID --secret=SECRET_ID --location=LOCATION

Die Antwort enthält die deaktivierte Version des Secrets.

REST

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• LOCATION: den Speicherort des Geheimnisses in Google Cloud
• PROJECT_ID: die Google Cloud-Projekt-ID
• SECRET_ID: die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret
• VERSION_ID: die ID der Version oder die voll qualifizierte Kennzeichnung für die Version

HTTP-Methode und URL:

POST https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:disable

JSON-Text der Anfrage:

{}

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch bei der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:disable"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto bei der gcloud CLI angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://secretmanager.LOCATION.rep.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/secrets/SECRET_ID/versions/VERSION_ID:disable" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "name": "projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID",
  "createTime": "2024-09-04T06:41:57.859674Z",
  "state": "DISABLED",
  "etag": "\"1621457b3c1459\""
}

Nächste Schritte

• Informationen zum Sichern der Datenintegrität
• Best Practices