Облачные функции Google - как безопасно хранить закрытый ключ сервисной учетной записи при использовании Google Source Repository?

Мое решение при использовании облачной функции с учетной записью службы:

1. Зашифруйте json-файл учетных данных своей служебной учетной записи с помощью Cloud KMS / vault и загрузите его в облачное хранилище.

2. Получите json-файл учетных данных служебной учетной записи из облачного хранилища и расшифруйте его с помощью служебной учетной записи Cloud KMS, которая имеет разрешение на шифрование / дешифрование.

3. Разберите json-файл учетных данных учетной записи службы во время выполнения и получите private_key, client_email и projectId.

4. Передайте эти три секретные переменные клиентской библиотеке

Мы храним переменные конфигурации как переменные среды для облачной функции, они представляют собой обычный текст, но это нормально. Потому что это не секрет.

Мы не должны хранить секретные вещи, такие как простой текст, например, переменные среды облачных функций.

Вы можете загрузить файл учетной записи службы вместе со своими функциями и использовать его в своем коде. Там он останется в безопасности. Большинство разработчиков будут использовать .gitignore или аналогичный механизм, чтобы этот файл не был добавлен в систему управления версиями. Ниже приведен пример загрузки учетных данных учетной записи службы из образцов Firebase. . (Если вы не используете Firebase SDK, вам нужно не забыть преобразовать определение функции в облачный стиль.

Вы также можете использовать env var, но вам придется проявлять особую осторожность при цитировании и экранировании значений, чтобы убедиться, что они правильно попадают в вашу функцию. Это вроде хлопот, но выполнимо.

По состоянию на январь 2020 года Google выпустил диспетчер секретов, который описывается как:

Secret Manager - это новый облачный сервис Google, который обеспечивает безопасный и удобный метод хранения ключей API, паролей, сертификатов и других конфиденциальных данных. Secret Manager предоставляет центральное место и единый источник правды для управления, доступа и аудита секретов в Google Cloud.

Для облачных функций есть руководство здесь на как создать секрет, а затем получить его из облачной функции.

Здесь вы можете узнать, как предоставить учетные данные своему приложению, используя переменную среды. GOOGLE_APPLICATION_CREDENTIALS.

Вот как я решил эту проблему. Сначала создайте логику в файле keys.js, чтобы определить, находитесь ли вы в разработке или в производстве (и создайте соответствующие файлы ./dev.js и ./prod.js, где вы должны включить ./dev.js в файл .ignore, чтобы убедитесь, что он не загружен на ваш пульт github):

if (process.env.NODE_ENV === "production") {
  module.exports = require("./prod");
} else {
  module.exports = require("./dev");
}

Во-вторых, вам потребуется файл keys.js, в котором находится описанная выше логика, и создать объект учетных данных на основе данных, полученных из keys.js:

const credentials = {
  type: keys.googleType,
  project_id: keys.googleProjectId,
  private_key_id: keys.googlePrivateKeyId,
  private_key: keys.googlePrivateKey,
  client_email: keys.googleClientEmail,
  client_id: keys.googleClientId,
  auth_uri: keys.googleAuthUri,
  token_uri: keys.googleTokenUri,
  auth_provider_x509_cert_url: keys.googleAuthProviderX509CertUrl,
  client_x509_cert_url: keys.googleClientX509CertUrl
};

Теперь для каждой облачной службы Google вы можете использовать следующие примеры шаблонов:

  const storage = new Storage({
    project_id: credentials.project_id,
    credentials
  });
  const client = new textToSpeech.TextToSpeechClient({
    project_id: credentials.project_id,
    credentials
  });
...
etc.

Я думаю, что вам действительно не нужно хранить какие-либо ключевые файлы в вашем коде.

Ваша функция работает с назначенной учетной записью службы (обычно это учетная запись службы по умолчанию App Engine, но ее можно изменить в дополнительных настройках). Если у вас есть особые потребности, вы должны создать учетную запись службы, специфичную для вашей функции, и предоставить ей все необходимые разрешения.

В вашей функции аутентификация будет происходить автоматически с использованием учетных данных приложения по умолчанию, поэтому вы не не нужно ни о чем заботиться (забудьте о переменных окружения, ключевых файлах и т. д.). Просто убедитесь, что вы используете клиентские библиотеки Google Cloud для своего языка, что они неявно сделают все за вас.

В частности, я избегаю креативных решений, подобных предложению one @ slideshowp2. Но я согласен, что у них есть свое применение (например, предположим, мне нужно хранить учетные данные для внешней системы вне области действия GCP. В этом сценарии его решение может быть подходящим вариантом), но использовать только службы Google, давайте оставим его просто.