如何向GCP实例启动脚本传入环境变量文件或密钥？

1. 用云服务商密钥管理服务（KMS）+ 参数存储 #

• 把环境变量文件加密后，存在云服务商的参数存储服务里（比如AWS Systems Manager Parameter Store、GCP Secret Manager这类）
• 给实例组提前配置好对应的IAM权限，启动脚本里调用KMS的API，解密并拉取文件内容，直接写入应用目录的目标文件
• 示例脚本片段（以AWS为例）：

  # 拉取解密后的参数，写入环境变量文件
  aws ssm get-parameter --name "/app/prod/env-file" --with-decryption --query "Parameter.Value" --output text > /path/to/app/.env
  

• 优势：敏感数据全程不暴露，权限可精细控制，还支持版本管理，实例启动时按需拉取，不用提前塞镜像或源码里

2. 实例自定义元数据传递（适合小体积文件） #

• 如果环境变量文件内容不多，把加密后的内容作为实例的自定义元数据（比如GCP实例自定义属性、AWS实例用户数据扩展）
• 启动脚本里读取元数据，解密后写入目标文件
• 示例脚本片段（以GCP为例）：

  # 读取自定义元数据里的加密内容，解密后写入文件
  curl -H "Metadata-Flavor: Google" http://metadata.google.internal/computeMetadata/v1/instance/attributes/encrypted-env-file | openssl enc -d -aes-256-cbc -k $(gcloud kms decrypt --ciphertext-file=/tmp/key.enc --plaintext-file=- --keyring=my-keyring --key=my-key --location=us-central1) > /path/to/app/.env
  

• 注意：解密密钥别硬编码在脚本里，建议通过KMS获取；元数据有大小限制，只适合小文件

3. 私有对象存储配合IAM权限（适合大文件） #

• 把加密后的环境变量文件传到私有对象存储桶（比如AWS S3、GCP Cloud Storage），设置桶权限仅允许实例组的服务账号访问
• 启动脚本里用云服务商CLI下载文件，解密后写入应用目录
• 示例脚本片段：

  # 从私有存储桶下载加密文件
  gsutil cp gs://private-bucket/encrypted-env-file.enc /tmp/env.enc
  # 解密文件到应用目录
  gcloud kms decrypt --ciphertext-file=/tmp/env.enc --plaintext-file=/path/to/app/.env --keyring=my-keyring --key=my-key --location=us-central1
  # 删除临时加密文件
  rm /tmp/env.enc
  

• 优势：能存大体积文件，存储成本低，权限管控灵活

选型建议 #

• 优先选KMS+参数存储：最安全、维护成本最低，适配绝大多数场景
• 小文件选自定义元数据：部署简单，不用额外搭存储服务
• 大文件选私有对象存储+KMS：兼顾安全和存储容量

内容的提问来源于stack exchange，提问作者Brace Sproul