ExternalSecrets Operator无法解析GCP明文密钥，如何转为K8s密钥？

问题原因 #

报错unable to unmarshal secret: invalid character 'u' looking for beginning of value的本质是：ExternalSecrets Operator默认会将从GCP Secrets Manager获取的内容当作JSON格式解析，但你存储的是纯文本（如userpassword），并非合法JSON（合法JSON字符串需用双引号包裹），导致解析失败。

解决方案 #

有两种方式可以正确读取纯文本密钥：

方式1：使用data字段明确映射 #

通过data字段指定GCP密钥与Kubernetes Secret键的对应关系，留空property表示读取整个纯文本内容：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: test-ext-secret-gcp
  namespace: myplatform
spec:
  secretStoreRef:
    kind: ClusterSecretStore
    name: secret-store
  target:
    name: db-readonly-userpass
  data:
  - secretKey: password  # Kubernetes Secret中存储该值的键名
    remoteRef:
      key: gcp-db-readonly-userpass  # GCP Secrets Manager中的密钥名称
      property: ""  # 留空表示读取完整纯文本内容

方式2：在dataFrom中指定纯文本格式 #

如果坚持使用dataFrom，添加format: raw参数，告知Operator直接读取纯文本，跳过JSON解析：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: test-ext-secret-gcp
  namespace: myplatform
spec:
  secretStoreRef:
    kind: ClusterSecretStore
    name: secret-store
  target:
    name: db-readonly-userpass
  dataFrom:
  - extract:
      key: gcp-db-readonly-userpass
      format: raw  # 指定以纯文本格式读取密钥

验证结果 #

应用修改后的YAML清单后，执行以下命令查看生成的Kubernetes Secret：

kubectl get secret db-readonly-userpass -n myplatform -o yaml

确认data字段中的值是纯文本内容的Base64编码结果即可。

内容的提问来源于stack exchange，提问作者deepdive