GCP Secret Manager秘钥传入Cloud Build Docker构建阶段是否正确？

你给出的配置整体逻辑是可行的，但有几个细节需要注意，同时还有更安全的优化方案：

现有配置的问题与优化点 #

1. 权限校验
   Cloud Build使用的服务账号必须拥有roles/secretmanager.secretAccessor角色，否则会拉取密钥失败。

2. 密钥写入的可靠性
   原命令echo -n $(gcloud secrets versions access latest --secret=URL_A) > /workspace/URL_A中，命令替换$(...)会让bash解析密钥中的特殊字符（比如空格、引号、反斜杠），导致密钥失真。更稳妥的写法是直接重定向gcloud的输出：

   gcloud secrets versions access latest --secret=URL_A > /workspace/URL_A
   gcloud secrets versions access latest --secret=URL_B > /workspace/URL_B
   

3. Dockerfile配合要求
   必须在Dockerfile中提前定义对应的ARG指令，否则构建参数无法被识别：

   ARG URL_A
   ARG URL_B
   # 后续可通过$URL_A、$URL_B调用密钥值
   

更安全的替代方案 #

现有方案会将密钥写入/workspace，且构建参数会被记录在Cloud Build的构建历史中，存在泄露风险。推荐使用Cloud Build内置的Secret Manager集成，无需额外拉取步骤，且密钥不会暴露：

steps:
- name: gcr.io/cloud-builders/docker
  args:
  - build
  - '--no-cache'
  - '-t'
  - '$_GCR_HOSTNAME/$PROJECT_ID/$REPO_NAME/$_SERVICE_NAME:$COMMIT_SHA'
  - '--build-arg'
  - 'URL_A=$$URL_A'
  - '--build-arg'
  - 'URL_B=$$URL_B'
  - '.'
  - '-f'
  - Dockerfile
  secretEnv: ['URL_A', 'URL_B']
  id: Build
availableSecrets:
  secretManager:
  - versionName: projects/$PROJECT_ID/secrets/URL_A/versions/latest
    env: 'URL_A'
  - versionName: projects/$PROJECT_ID/secrets/URL_B/versions/latest
    env: 'URL_B'

内容的提问来源于stack exchange，提问作者Meer