Configurar secrets para serviços

Console

1. No Google Cloud console, acesse o Cloud Run:

   Acessar o Cloud Run

2. Selecione Serviços no menu e clique em Implantar contêiner para configurar um novo serviço. Preencha a página inicial de configurações do serviço e clique em Contêineres, volumes, Rede e segurança para expandir a página de configurações de serviço.

3. Ao configurar um serviço atual, clique nele e em Editar e implantar nova revisão.

4. Siga as etapas para expor o secret como uma variável de ambiente ou ativá-lo como um volume.

   • Para expor o secret como uma variável de ambiente:

     1. Clique na guia Contêineres.
     2. Na guia Variáveis e secrets, clique em Referenciar um secret.
     3. No campo Nome 1, insira o nome da variável de ambiente.
     4. Na lista Secret, selecione o secret que você quer usar.
     5. Na lista Versão 1, selecione a versão do secret a ser referenciada.
     6. Clique em Concluído.
     7. Clique em Criar ou Implantar.

   • Para ativar o secret como um volume:

     1. Clique na guia Volumes e selecione Adicionar volume.
     2. Na lista Tipo de volume, selecione Secret.
     3. No campo Nome do volume, digite um nome ou aceite o nome padrão.
     4. Na lista Secret, selecione o secret que você quer usar.
     5. No campo Caminho 1, digite o nome do arquivo a ser ativado.
     6. Na lista Versão 1, selecione a versão do secret a ser referenciada. Por padrão, a versão mais recente é selecionada. É possível selecionar uma versão específica.
     7. Clique em Concluído.
     8. Acesse a guia Contêiner(es) para ativar o secret no contêiner.
     9. Na guia Ativações de volume, clique em Ativar volume.
     10. Na lista Nome 1, selecione o nome do volume.
     11. No campo Caminho de ativação 1, insira o caminho de ativação do secret. Esse é o diretório em que todas as versões do secret são colocadas.
     12. Clique em Concluído.
     13. Clique em Criar ou Implantar.

gcloud

Para tornar um secret acessível ao serviço, digite um dos comandos a seguir.

• Para ativar o secret como um volume ao implantar um serviço, siga as etapas a seguir:

  gcloud run deploy SERVICE --image IMAGE_URL  \
  --update-secrets=PATH=SECRET_NAME:VERSION

  Substitua:

  • SERVICE: o nome do serviço.
  • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
  • PATH: o caminho de ativação do volume e o nome de arquivo do secret. Ele precisa começar com uma barra inicial, por exemplo: /etc/secrets/dbconfig/password, em que /etc/secrets/dbconfig/ é o caminho de ativação do volume e password é o nome do arquivo do secret.
  • SECRET_NAME: o nome do secret no mesmo projeto. Por exemplo, mysecret.
  • VERSION: a versão do secret. Use latest para a versão mais recente ou um número, por exemplo, 2.

• Para expor o secret como uma variável de ambiente ao implantar um serviço, siga estas etapas:

  gcloud run deploy SERVICE \
  --image IMAGE_URL \
  --update-secrets=ENV_VAR_NAME=SECRET_NAME:VERSION

  Substitua:

  • SERVICE: o nome do serviço.
  • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
  • ENV_VAR_NAME: o nome da variável de ambiente que você quer usar com o secret.
  • SECRET_NAME: o nome do secret no mesmo projeto. Por exemplo, mysecret.
  • VERSION: a versão do secret. Use latest para a versão mais recente ou um número, por exemplo, 2.

• É possível atualizar vários secrets ao mesmo tempo. Para fazer isso, separe as opções de configuração de cada secret com uma vírgula. O comando a seguir atualiza um secret ativado como um volume e outro secret exposto como uma variável de ambiente.

  Para atualizar os secrets existentes, digite o seguinte comando:

  gcloud run deploy SERVICE --image IMAGE_URL \
  --update-secrets=PATH=SECRET_NAME:VERSION,ENV_VAR_NAME=SECRET_NAME:VERSION

• Para limpar os secrets atuais e tornar um novo secret acessível ao serviço, use a sinalização --set-secrets:

  gcloud run services update SERVICE \
  --set-secrets="ENV_VAR_NAME=SECRET_NAME:VERSION"

YAML

1. Se você estiver criando um novo serviço, pule esta etapa. Se você estiver atualizando um serviço existente, faça o download da configuração YAML correspondente:

   gcloud run services describe SERVICE --format export > service.yaml

2. Para secrets expostos como variáveis de ambiente, em env, atualize ENV_VAR, VERSION e/ou SECRET_NAME conforme desejado. Se você tiver vários secrets montados como variáveis de ambiente, terá vários desses atributos.

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION
       spec:
         containers:
         - image: IMAGE_URL
           env:
           - name: ENV_VAR
             valueFrom:
               secretKeyRef:
                 key: VERSION
                 name: SECRET_NAME

3. Para secrets ativados como caminhos de arquivo, atualize MOUNT_PATH, VOLUME_NAME, VERSION, FILENAME e/ou SECRET_NAME conforme desejado. Se você tiver vários secrets ativados como caminhos de arquivo, terá múltiplos desses atributos.

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION
       spec:
         containers:
         - image: IMAGE_URL
           volumeMounts:
           - mountPath: MOUNT_PATH
             name: VOLUME_NAME
         volumes:
         - name: VOLUME_NAME
           secret:
             items:
             - key: VERSION
               path: FILENAME
             secretName: SECRET_NAME

   Observe que VOLUME_NAME pode ser definido como qualquer nome.

   Substitua:

   • SERVICE: o nome do seu serviço do Cloud Run.
   • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
   • REVISION por um novo nome de revisão ou excluí-lo (se houver). Se você fornecer um novo nome de revisão, ele precisará atender aos seguintes critérios:
     • Começa com SERVICE-
     • Contém apenas letras minúsculas, números e -
     • Não termina com um -
     • Não excede 63 caracteres

4. Substitua o serviço pela nova configuração usando o seguinte comando:

   gcloud run services replace service.yaml

Terraform

1. Crie um secret e uma versão dele.

   resource "google_secret_manager_secret" "default" {
     secret_id = "my-secret"
     replication {
       auto {}
     }
   }
   
   resource "google_secret_manager_secret_version" "default" {
     secret      = google_secret_manager_secret.default.name
     secret_data = "this is secret data"
   }

2. Crie uma conta de serviço e conceda a ela acesso ao secret:

   resource "google_service_account" "default" {
     account_id   = "cloud-run-service-account"
     display_name = "Service account for Cloud Run"
   }
   
   resource "google_secret_manager_secret_iam_member" "default" {
     secret_id = google_secret_manager_secret.default.id
     role      = "roles/secretmanager.secretAccessor"
     # Grant the new deployed service account access to this secret.
     member     = "serviceAccount:${google_service_account.default.email}"
     depends_on = [google_secret_manager_secret.default]
   }

3. Os secrets do Secret Manager podem ser acessados no Cloud Run como caminhos de arquivo montados ou como variáveis de ambiente.

   1. Para secrets montados como caminhos de arquivo, crie uma referência ao recurso do Secret Manager no parâmetro volumes. O name corresponde a uma entrada no parâmetro volume_mounts:

      resource "google_cloud_run_v2_service" "mounted_secret" {
        name     = "service-with-mounted-secret"
        location = "us-central1"
        ingress  = "INGRESS_TRAFFIC_ALL"
      
        deletion_protection = false # set to "true" in production
      
        template {
          volumes {
            name = "my-service-volume"
            secret {
              secret = google_secret_manager_secret.default.secret_id
              items {
                version = "latest"
                path    = "my-secret"
                mode    = 0 # use default 0444
              }
            }
          }
          containers {
            image = "us-docker.pkg.dev/cloudrun/container/hello"
            volume_mounts {
              name       = "my-service-volume"
              mount_path = "/secrets"
            }
          }
          service_account = google_service_account.default.email
        }
        depends_on = [google_secret_manager_secret_version.default]
      }

   2. Para secrets expostos como variáveis de ambiente, crie uma referência ao recurso do Secret Manager no parâmetro env:

      resource "google_cloud_run_v2_service" "env_variable_secret" {
        name     = "service-with-env-var-secret"
        location = "us-central1"
        ingress  = "INGRESS_TRAFFIC_ALL"
      
        deletion_protection = false # set to "true" in production
      
        template {
          containers {
            image = "us-docker.pkg.dev/cloudrun/container/hello"
            env {
              name = "MY_SECRET"
              value_source {
                secret_key_ref {
                  secret  = google_secret_manager_secret.default.secret_id
                  version = "latest"
                }
              }
            }
          }
          service_account = google_service_account.default.email
        }
        depends_on = [google_secret_manager_secret_version.default]
      }

Console

1. No Google Cloud console, acesse o Cloud Run:

   Acessar o Cloud Run

2. Selecione Serviços no menu e clique em Implantar contêiner para configurar um novo serviço. Preencha a página inicial de configurações do serviço e clique em Contêineres, volumes, Rede e segurança para expandir a página de configurações de serviço.

3. Ao configurar um serviço atual, clique nele e em Editar e implantar nova revisão.

4. Siga as etapas para expor o secret como uma variável de ambiente ou ativá-lo como um volume.

   • Para expor o secret como uma variável de ambiente:

     1. Clique na guia Contêineres.
     2. Na guia Variáveis e secrets, clique em Referenciar um secret.
     3. No campo Nome 1, insira o nome da variável de ambiente.
     4. Na lista Secret, clique em Inserir secret manualmente.

     5. Insira o ID do recurso do secret no seguinte formato:

        projects/PROJECT_NUMBER/secrets/SECRET_NAME
        

        Substitua:

        • PROJECT_NUMBER pelo número do projeto Google Cloud . Para instruções detalhadas sobre como encontrar o número do projeto, consulte Criar e gerenciar projetos.

        • SECRET_NAME: o nome do secret no Secret Manager.

     6. Na lista Versão 1, selecione a versão do secret a ser referenciada.

     7. Clique em Concluído.

     8. Clique em Criar ou Implantar.

   • Para ativar o secret como um volume:

     1. Clique na guia Volumes e selecione Adicionar volume.
     2. Na lista Tipo de volume, selecione Secret.
     3. No campo Nome do volume, digite um nome ou aceite o nome padrão.
     4. Na lista Secret, clique em Inserir secret manualmente.

     5. Insira o ID do recurso do secret no seguinte formato:

        projects/PROJECT_NUMBER/secrets/SECRET_NAME
        

        Substitua:

        • PROJECT_NUMBER pelo número do projeto Google Cloud . Para instruções detalhadas sobre como encontrar o número do projeto, consulte Criar e gerenciar projetos.

        • SECRET_NAME: o nome do secret no Secret Manager.

     6. No campo Caminho 1, digite o nome do arquivo a ser ativado.

     7. Na lista Versão 1, selecione a versão do secret a ser referenciada. Por padrão, a versão mais recente é selecionada. É possível selecionar uma versão específica.

     8. Clique em Concluído.

     9. Acesse a guia Contêiner(es) para ativar o secret no contêiner.

     10. Na guia Ativações de volume, clique em Ativar volume.

     11. Na lista Nome 1, selecione o nome do volume.

     12. No campo Caminho de ativação 1, insira o caminho de ativação do secret. Esse é o diretório em que todas as versões do secret são colocadas.

     13. Clique em Concluído.

     14. Clique em Criar ou Implantar.

gcloud

• Para ativar o secret como um volume ao implantar um serviço, siga as etapas a seguir:

  gcloud run deploy SERVICE --image IMAGE_URL  \
  --update-secrets=PATH=projects/PROJECT_NUMBER/secrets/SECRET_NAME:VERSION

  Substitua:

  • SERVICE: o nome do serviço.
  • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
  • PATH: o caminho de ativação do volume e o nome de arquivo do secret. Ele precisa começar com uma barra inicial, por exemplo: /etc/secrets/dbconfig/password, em que /etc/secrets/dbconfig/ é o caminho de ativação do volume e password é o nome do arquivo do secret.
  • PROJECT_NUMBER pelo número do projeto em que o secret foi criado.
  • SECRET_NAME: o nome do secret, por exemplo, mysecret.
  • VERSION pela versão do secret Use latest para a versão mais recente ou um número, por exemplo, 2.

YAML

1. Se você estiver criando um novo serviço, pule esta etapa. Se você estiver atualizando um serviço existente, baixe a configuração YAML correspondente:

   gcloud run services describe SERVICE --format export > service.yaml

Devido a restrições na compatibilidade da API, os locais do secret precisam ser armazenados em uma anotação.

1. Para secrets expostos como variáveis de ambiente:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
       spec:
         containers:
         - image: IMAGE_URL
           env:
           - name: ENV_VAR
             valueFrom:
               secretKeyRef:
                 key: VERSION
                 name: SECRET_LOOKUP_NAME

   Substitua:

   • SERVICE: o nome do serviço.
   • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • ENV_VAR
   • PROJECT_NUMBER: o número do projeto em que o secret foi criado.
   • SECRET_NAME: o nome do secret. Por exemplo, mysecret.
   • VERSION: a versão do secret. Use latest para a versão mais recente ou um número, por exemplo, 2.
   • SECRET_LOOKUP_NAME: qualquer nome que tenha uma sintaxe válida de nome de secret, por exemplo, my-secret, pode ser igual a SECRET_NAME.

2. Para secrets montados como caminhos de arquivo:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
       spec:
         containers:
         - image: IMAGE_URL
           volumeMounts:
           - mountPath: MOUNT_PATH
             name: VOLUME_NAME
         volumes:
         - name: VOLUME_NAME
           secret:
             items:
             - key: VERSION
               path: FILENAME
             secretName: SECRET_LOOKUP_NAME

   Substitua:

   • SERVICE: o nome do serviço.
   • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
   • PATH: o caminho de ativação do volume e o nome de arquivo do secret. Ele precisa começar com uma barra inicial, por exemplo: /etc/secrets/dbconfig/password, em que /etc/secrets/dbconfig/ é o caminho de ativação do volume e password é o nome do arquivo do secret.
   • PROJECT_NUMBER: o número do projeto em que o secret foi criado.
   • SECRET_NAME: o nome do secret. Por exemplo, mysecret.
   • VERSION: a versão do secret. Use latest para a versão mais recente ou um número, por exemplo, 2.
   • SECRET_LOOKUP_NAME: qualquer nome que tenha uma sintaxe válida de nome de secret, por exemplo, my-secret, pode ser igual a SECRET_NAME.
   • VOLUME_NAME: qualquer nome. Por exemplo, my-volume. Ele pode ser igual a SECRET_NAME.

Terraform

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Para secrets expostos como variáveis de ambiente:

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE_NAME"
  location = "REGION"

  template {
    containers {
      image = "IMAGE_URL"
      env {
        name = "SECRET_NAME"
        value_source {
          secret_key_ref {
            secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
            version = "VERSION"
          }
        }
      }
    }
  }
}

Substitua:

• SERVICE_NAME: o nome do seu job do Cloud Run;
• REGION: a Google Cloud região. Por exemplo, europe-west1.
• IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• SECRET_NAME: o nome do secret, por exemplo, mysecret.
• PROJECT_ID: o ID do projeto em que o secret foi criado.
• VERSION: a versão do secret. Use latest para a versão mais recente ou um número, por exemplo, 2.

Para secrets montados como caminhos de arquivo:

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE_NAME"
  location = "REGION"

  template {
    containers {
      image = "IMAGE_URL"

      volume_mounts {
        name       = "VOLUME_NAME"
        mount_path = "MOUNT_PATH"
      }
    }

    volumes {
      name = "VOLUME_NAME"
      secret {
        secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
      }
    }
  }
}

Substitua:

• SERVICE_NAME: o nome do seu job do Cloud Run;
• REGION com a região Google Cloud . Por exemplo, europe-west1.
• IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
• VOLUME_NAME: qualquer nome. Por exemplo, my-volume. Pode ser o mesmo que SECRET_NAME.
• MOUNT_PATH: o caminho de ativação do volume e o nome de arquivo do secret. Ele precisa começar com uma barra inicial, por exemplo: /etc/secrets/dbconfig/password, em que /etc/secrets/dbconfig/ é o caminho de ativação do volume e password é o nome do arquivo do secret.
• PROJECT_ID: o ID do projeto em que o secret foi criado.
• SECRET_NAME: o nome do secret, por exemplo, mysecret.

Console

1. No Google Cloud console, acesse o Cloud Run:

   Acessar o Cloud Run

2. Clique no serviço de seu interesse para abrir a página Detalhes do serviço.

3. Clique na guia Revisões.

4. No painel de detalhes à direita, a configuração dos Secrets está listada na guia Contêiner.

gcloud

1. Use o comando a seguir:

   gcloud run services describe SERVICE

2. Localize a configuração de secret na configuração retornada.

Console

1. No Google Cloud console, acesse o Cloud Run:

   Acessar o Cloud Run

2. Selecione seu serviço na lista e clique em Editar e implantar nova revisão.

3. Clique na guia Contêineres.

4. Para excluir secrets montados como um volume, selecione a guia Montagens de volume, passe o cursor sobre o secret que você quer remover e clique em delete Excluir.

5. Para excluir secrets expostos como uma variável de ambiente, selecione a guia Variáveis e secrets, passe o cursor sobre o secret que você quer remover e clique em delete Excluir.

6. Clique em Implantar.

gcloud

É possível remover todos os secrets de um serviço ou especificar um ou mais secrets a serem removidos:

• Para remover todos os segredos, execute o seguinte comando:

  gcloud run deploy SERVICE --image IMAGE_URL \
  --clear-secrets
  

  Substitua:

  • SERVICE: o nome do serviço.
  • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .

• Para especificar uma lista de secrets a serem removidos, use a sinalização --remove-secrets. O comando a seguir remove um secret ativado como um volume e outro secret exposto como uma variável de ambiente.

  gcloud run deploy SERVICE --image IMAGE_URL \
  --remove-secrets=ENV_VAR_NAME,SECRET_FILE_PATH
  

  Substitua:

  • SERVICE: o nome do serviço.
  • IMAGE_URL: uma referência à imagem de contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
  • ENV_VAR_NAME: o nome da variável de ambiente.

  • SECRET_FILE_PATH: o caminho completo do secret. Por exemplo, /mnt/secrets/primary/latest, em que /mnt/secrets/primary/ é o caminho de ativação e latest é o caminho secreto. Também é possível especificar os caminhos de montagem e secret separadamente:

        --set-secrets MOUNT_PATH:SECRET_PATH=SECRET:VERSION