如何配置Google Cloud Build使Docker Compose像本地一样读取密钥文件

你遇到的错误根源有两个：一是/workspace/secrets目录未提前创建，导致无法写入密钥文件；二是使用echo写入时会破坏密钥的原始格式（比如JSON的换行、特殊字符）。以下是修正后的完整配置和关键说明：

修正后的cloudbuild.yaml #

steps:
# 第一步：创建目录并写入完整格式的密钥文件
- name: gcr.io/cloud-builders/gcloud
  entrypoint: 'bash'
  args:
    - '-c'
    - |
      # 确保secrets目录存在
      mkdir -p /workspace/secrets
      # 用printf完整保留密钥原始格式，避免echo处理特殊字符
      printf "%s" "$API_KEY" > /workspace/secrets/api_key.json
  secretEnv: ['API_KEY']

# 第二步：运行Docker Compose
- name: 'docker/compose:1.29.2'
  args: ['up', '-d']

availableSecrets:
  secretManager:
    - versionName: projects/ID/secrets/API_KEY/versions/1
      env: API_KEY

关键调整说明 #

• 提前创建目录：通过mkdir -p /workspace/secrets确保目标目录存在，避免写入文件时出现"路径不存在"的错误
• 使用printf替代echo：echo会自动过滤末尾换行或转义特殊字符，而printf "%s"可以完整保留密钥的原始内容，尤其适合JSON格式的密钥文件
• 移除冗余卷配置：Cloud Build的/workspace目录默认在所有构建步骤间共享，无需额外定义卷来传递文件，简化配置逻辑

可选优化：验证密钥文件格式 #

如果你的密钥是JSON格式，可以在写入后添加验证步骤，确保文件格式正确，避免后续容器启动失败：

- name: gcr.io/cloud-builders/gcloud
  entrypoint: 'bash'
  args:
    - '-c'
    - |
      mkdir -p /workspace/secrets
      printf "%s" "$API_KEY" > /workspace/secrets/api_key.json
      # 用Python验证JSON格式，格式错误则终止构建
      python3 -m json.tool /workspace/secrets/api_key.json > /dev/null || exit 1
  secretEnv: ['API_KEY']

内容的提问来源于stack exchange，提问作者Rich