如何格式化CHRONICLE_JSON环境变量以解决OTEL Collector注入报错？

我通过vault-agent-injector突变Webhook注入敏感配置，实现集群中otel-collector的安全自动化部署，使用的是内置Google Chronicle转发器的定制otel-collector二进制文件。

我的otel-collector配置如下：

exporters:
  chronicle:
    creds: |
      ${env:CHRONICLE_JSON}
    customer_id: someCustomerId
    endpoint: someChronicleEndpoint
    log_type: CUSTOM_APPLICATION_ACCESS
  debug:
    verbosity: detailed
  elasticsearch:
    api_key: ${env:ES_API_KEY}
    endpoints:
    - someESEndpoint
    password: ${env:ES_PASSWORD}
    user: someESuser
  elasticsearch/log:
    endpoints:
    - someESEndpoint

当Collector替换CHRONICLE_JSON环境变量时，抛出**"unexpected end of input"**错误。该环境变量的原始JSON内容如下：

{
  "type": "service_account",
  "project_id": "someProjectID",
  "private_key_id": "11111111111111111",
  "private_key": "-----BEGIN PRIVATE KEY-----
someCert
-----END PRIVATE KEY-----
",
  "client_email": "someClientEmail",
  "client_id": "111111111111111111111",
  "auth_uri": "https://accounts.google.com/o/oauth2/auth",
  "token_uri": "https://oauth2.googleapis.com/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "someCertUrl",
  "universe_domain": "googleapis.com"
}

已确认：

• 手动运行Collector时配置可正常转发日志
• Vault注解工作正常，/vault/secrets/otel-collector中已正确填充密钥
• 容器能正确读取环境变量，ES相关变量替换无问题

Vault注入器生成的密钥文件内容如下：

export ES_API_KEY="someAPIKey"
export ES_PASSWORD="somePassword"
export CHRONICLE_JSON='{
  "type": "service_account",
  "project_id": "someProjectID",
  "private_key_id": "11111111111111111",
  "private_key": "-----BEGIN PRIVATE KEY-----
someCert
-----END PRIVATE KEY-----
",
  "client_email": "someClientEmail",
  "client_id": "111111111111111111111",
  "auth_uri": "https://accounts.google.com/o/oauth2/auth",
  "token_uri": "https://oauth2.googleapis.com/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "someCertUrl",
  "universe_domain": "googleapis.com"
}'

尝试过将JSON转为单行、转义特殊字符等操作，均无法解决替换问题，求可行的环境变量格式化方案。

问题核心在于shell环境下多行字符串的处理以及otel-collector对JSON格式的严格解析，可通过以下三种方式解决：

方式1：将JSON转为完全转义的单行字符串 #

把原始JSON中的所有换行符、双引号进行转义，确保shell能正确识别为单个环境变量值，同时otel-collector能解析为合法JSON。

处理后的CHRONICLE_JSON示例：

export CHRONICLE_JSON="{\"type\":\"service_account\",\"project_id\":\"someProjectID\",\"private_key_id\":\"11111111111111111\",\"private_key\":\"-----BEGIN PRIVATE KEY-----\\nsomeCert\\n-----END PRIVATE KEY-----\\n\",\"client_email\":\"someClientEmail\",\"client_id\":\"111111111111111111111\",\"auth_uri\":\"https://accounts.google.com/o/oauth2/auth\",\"token_uri\":\"https://oauth2.googleapis.com/token\",\"auth_provider_x509_cert_url\":\"https://www.googleapis.com/oauth2/v1/certs\",\"client_x509_cert_url\":\"someCertUrl\",\"universe_domain\":\"googleapis.com\"}"

关键转义规则：

• 所有双引号"替换为\"
• 所有换行符\n替换为\\n（shell需要额外转义反斜杠）

方式2：使用base64编码传递 #

1. 在Vault中存储原始JSON的base64编码值
2. 修改otel-collector配置，使用内置函数解码环境变量：

exporters:
  chronicle:
    creds: |
      ${base64decode:${env:CHRONICLE_JSON_B64}}
    # 其他配置不变

3. 调整Vault注入模板，直接导出编码后的环境变量：

export CHRONICLE_JSON_B64="你的JSON内容base64编码值"

这种方式避免了所有shell转义问题，base64编码将多行字符串转为单行，otel-collector可直接解码为原始JSON。

方式3：将JSON写入文件而非环境变量 #

1. 在Vault注入模板中，将CHRONICLE_JSON的内容写入容器内的文件（比如/etc/otel/chronicle-creds.json）
2. 修改otel-collector配置读取文件：

exporters:
  chronicle:
    creds_file: /etc/otel/chronicle-creds.json
    # 其他配置不变

这种方式彻底规避了环境变量的转义问题，是最稳定的方案，尤其适合包含复杂换行和特殊字符的密钥文件。

内容的提问来源于stack exchange，提问作者Pudding