如何将GCP Secrets Manager多行密钥传入Cloud Build/Docker容器

一、处理多行密钥的最佳实践 #

直接将多行密钥作为build参数传递会因换行符、特殊字符触发语法错误，还存在日志泄露风险，优先推荐以下安全方案：

方案1：通过临时卷从Secrets Manager拉取密钥文件 #

这种方式完全避免将密钥暴露为构建参数，是最安全的实现方式。

1.1 cloudbuild.yaml 配置

steps:
  # 拉取私钥到临时卷
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        gcloud secrets versions access latest --secret=oauth-private-key > /tmp/keys/oauth-private.key
    volumes:
      - name: 'keys'
        path: '/tmp/keys'

  # 拉取公钥到临时卷
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        gcloud secrets versions access latest --secret=oauth-public-key > /tmp/keys/oauth-public.key
    volumes:
      - name: 'keys'
        path: '/tmp/keys'

  # 构建Docker镜像，复制临时卷中的密钥到容器内
  - name: 'gcr.io/cloud-builders/docker'
    args: [
      'build',
      '-t', 'gcr.io/$PROJECT_ID/your-laravel-image',
      '--build-arg', 'PRIVATE_KEY=/tmp/keys/oauth-private.key',
      '--build-arg', 'PUBLIC_KEY=/tmp/keys/oauth-public.key',
      '.'
    ]
    volumes:
      - name: 'keys'
        path: '/tmp/keys'

images:
  - 'gcr.io/$PROJECT_ID/your-laravel-image'

1.2 Dockerfile 配置

FROM php:8.2-fpm

# 创建Laravel存储目录
RUN mkdir -p /var/www/html/storage

# 复制密钥并设置Laravel要求的权限
ARG PRIVATE_KEY
ARG PUBLIC_KEY
COPY ${PRIVATE_KEY} /var/www/html/storage/oauth-private.key
COPY ${PUBLIC_KEY} /var/www/html/storage/oauth-public.key

# 密钥文件需设为600权限，且归web运行用户所有
RUN chmod 600 /var/www/html/storage/oauth-private.key /var/www/html/storage/oauth-public.key
RUN chown www-data:www-data /var/www/html/storage/oauth-private.key /var/www/html/storage/oauth-public.key

方案2：Base64编码后传递（不推荐） #

若必须使用build参数，可将多行密钥转为Base64字符串规避换行问题，但存在日志泄露风险：

2.1 本地编码密钥

执行命令将密钥转为无换行的Base64字符串，再上传到Secrets Manager：

base64 -w0 storage/oauth-private.key > oauth-private.key.base64
base64 -w0 storage/oauth-public.key > oauth-public.key.base64

2.2 cloudbuild.yaml 配置

steps:
  - name: 'gcr.io/cloud-builders/docker'
    args: [
      'build',
      '-t', 'gcr.io/$PROJECT_ID/your-laravel-image',
      '--build-arg', 'PRIVATE_KEY_BASE64=$(gcloud secrets versions access latest --secret=oauth-private-key-base64)',
      '--build-arg', 'PUBLIC_KEY_BASE64=$(gcloud secrets versions access latest --secret=oauth-public-key-base64)',
      '.'
    ]

images:
  - 'gcr.io/$PROJECT_ID/your-laravel-image'

2.3 Dockerfile 配置

FROM php:8.2-fpm

RUN mkdir -p /var/www/html/storage

# 解码Base64字符串并写入密钥文件
ARG PRIVATE_KEY_BASE64
ARG PUBLIC_KEY_BASE64
RUN echo "${PRIVATE_KEY_BASE64}" | base64 -d > /var/www/html/storage/oauth-private.key
RUN echo "${PUBLIC_KEY_BASE64}" | base64 -d > /var/www/html/storage/oauth-public.key

# 设置权限
RUN chmod 600 /var/www/html/storage/oauth-private.key /var/www/html/storage/oauth-public.key
RUN chown www-data:www-data /var/www/html/storage/oauth-private.key /var/www/html/storage/oauth-public.key

二、Cloud Build服务账号配置最佳实践 #

• 最小权限原则：不给服务账号分配宽泛角色（如Editor），仅授予必要权限。比如拉取Secrets只需roles/secretmanager.secretAccessor，且可限定为仅访问指定的OAuth密钥Secret。
• 使用专用服务账号：避免使用默认Cloud Build服务账号，创建专门的服务账号用于构建任务，降低权限泄露风险。
• 启用工作负载身份：若构建需访问其他GCP服务（如GCR、Cloud SQL），用Workload Identity代替传统密钥，无需管理凭证，安全性更高。
• 定期权限审计：每月审查服务账号权限，移除不再需要的权限；若服务账号泄露，立即禁用并创建新账号。
• 限制使用范围：配置IAM条件，仅允许该服务账号在指定的Cloud Build触发器、区域或资源中使用。

内容的提问来源于stack exchange，提问作者Chuck Dietz