如何通过Google Cloud Build结合Secret Manager部署可访问私有NuGet仓库的Google Cloud Function且不硬编码凭证？

当然可以实现你的需求！核心思路完全正确，但问题出在你混淆了Cloud Function运行时的Secret挂载和Cloud Build构建阶段的环境变量注入：你用--set-secrets配置的是Function运行时才能访问的环境变量，但拉取私有NuGet包的操作发生在Cloud Build的构建阶段，这时候这些Secret还没被加载，所以nuget.config里的占位符自然无法被替换。

下面是两种可行的解决方案，按复杂度从低到高排序：

方案一：直接给构建阶段注入Secret环境变量 #

Google Cloud Functions的部署命令支持--build-env-vars-from-secrets参数，专门用来给Cloud Build构建过程注入Secret作为环境变量。你只需要修改原部署命令，添加这个参数即可：

gcloud functions deploy function_name --entry-point Function \
 --region europe-west1 --trigger-http --project project_name \
 --set-env-vars ASPNETCORE_ENVIRONMENT=Production \
 # 给构建阶段注入Secret，让dotnet restore能读取到
 --build-env-vars-from-secrets NUGET_USER=projects/project_name/secrets/NUGET_USER/versions/latest \
 --build-env-vars-from-secrets DEPLOY_API_KEY=projects/project_name/secrets/DEPLOY_API_KEY/versions/latest \
 # 保留--set-secrets给运行时（如果你的代码运行时也需要这些变量的话）
 --set-secrets 'DEPLOY_API_KEY=DEPLOY_API_KEY:latest' \
 --set-secrets 'NUGET_USER=NUGET_USER:latest'

关键说明： #

• --build-env-vars-from-secrets的参数格式是变量名=Secret的完整资源路径，请把project_name替换成你的实际项目ID。
• 你的nuget.config配置完全没问题，%NUGET_USER%和%DEPLOY_API_KEY%的占位符会在构建阶段被Cloud Build注入的环境变量自动替换。
• 确保Cloud Build服务账号（格式为[你的项目编号]@cloudbuild.gserviceaccount.com）拥有roles/secretmanager.secretAccessor角色，否则构建过程无法读取Secret。

方案二：用Cloud Build配置文件自定义构建流程 #

如果需要更精细的控制构建步骤（比如添加额外的构建前校验），可以编写cloudbuild.yaml配置文件，显式在构建阶段读取Secret并执行dotnet命令：

steps:
# 第一步：构建.NET项目，先读取Secret再执行restore和publish
- name: 'mcr.microsoft.com/dotnet/sdk:6.0'
  entrypoint: 'bash'
  args:
  - '-c'
  - |
    # 从Secret Manager读取凭证并设置为环境变量
    export NUGET_USER=$(gcloud secrets versions access latest --secret=NUGET_USER --project project_name)
    export DEPLOY_API_KEY=$(gcloud secrets versions access latest --secret=DEPLOY_API_KEY --project project_name)
    # 执行构建命令
    dotnet restore
    dotnet publish -c Release -o output

# 第二步：部署构建好的输出到Cloud Function
- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  args:
  - 'functions'
  - 'deploy'
  - 'function_name'
  - '--entry-point=Function'
  - '--region=europe-west1'
  - '--trigger-http'
  - '--project=project_name'
  - '--set-env-vars=ASPNETCORE_ENVIRONMENT=Production'
  - '--set-secrets=DEPLOY_API_KEY=DEPLOY_API_KEY:latest,NUGET_USER=NUGET_USER:latest'
  - '--source=output'

options:
  logging: CLOUD_LOGGING_ONLY

然后用以下命令触发部署：

gcloud builds submit --config cloudbuild.yaml .

补充注意事项 #

• 如果你不需要在Function运行时使用这些NuGet凭证，可以去掉--set-secrets参数，减少不必要的Secret挂载。
• 你的nuget.config不需要做任何修改，保持现有占位符即可，dotnet会自动识别环境变量并替换。

内容的提问来源于stack exchange，提问作者Tomz Re