GCP非机密值管理方案咨询：是否存在专用变量管理器？

一、GCP原生工具组合方案 #

• GCS + Terraform：用Terraform生成非机密值后，直接写入Google Cloud Storage（GCS）的对象中。通过GCP IAM配置权限：仅允许K8s服务账号和指定团队成员读取该GCS对象。K8s侧可通过init容器拉取内容生成ConfigMap，有权限的人员也能直接在GCS控制台查看值。
• Deployment Manager集成：借助GCP Deployment Manager定义并存储非机密配置，Terraform可将生成的值同步至Deployment Manager的配置资源中。授权人员可通过Deployment Manager控制台查看，同时通过部署模板将配置注入K8s资源。

二、ESO安全生成ConfigMap的可行方案 #

你顾虑的安全风险可通过严格权限控制消除：

• GCP IAM隔离：为ESO的服务账号仅分配GCP Secrets Manager中非机密标签对应的Secret只读权限，完全隔绝真正的机密资源。
• K8s RBAC限制：在K8s集群中配置RBAC，仅允许授权的Pod和用户访问生成的ConfigMap，防止无权限人员获取内容。
• 资源标记过滤：给GCP Secrets Manager中的非机密值Secret添加专属标签（如category: non-confidential），配置ESO仅同步带有该标签的资源生成ConfigMap，避免误处理机密值。

三、其他实用方案 #

• Terraform直接生成K8s ConfigMap：若Terraform已管理K8s集群，可在Terraform代码中直接定义ConfigMap，将生成的非机密值写入其中。既实现自动化交付给Pod，又能通过K8s RBAC控制查看权限，让授权人员可见。
• Runtime Configurator：GCP的Runtime Configurator是轻量配置管理服务，可存储非机密键值对，支持Terraform集成，K8s服务可通过API拉取配置，授权人员能通过控制台查看内容。

内容的提问来源于stack exchange，提问作者Mike Williams