更新Secret Manager密钥后，如何高效更新Cloud Run实例？

你的Terraform配置未生效的核心原因是：Cloud Run的env_secret_vars若引用Secret的latest版本，或配置中未关联Secret的版本号变更，Terraform无法感知Cloud Run服务需要更新。即便添加了depends_on，它仅控制资源创建顺序，不会触发Cloud Run的重新部署。

以下是两种高效解决方法：

方法一：通过版本号关联触发Terraform自动更新 #

将Secret的版本号作为Cloud Run配置的一部分，只要Secret版本更新，Terraform就会自动触发Cloud Run部署：

1. 在配置中添加本地值，汇总所有Secret的版本信息：

locals {
  # 拼接所有Secret的名称和版本号，作为变更标识
  secret_version_fingerprint = join(
    ";",
    [for secret_version in google_secret_manager_secret_version.secrets : "${secret_version.secret}:${secret_version.version}"]
  )
}

2. 修改Cloud Run模块的template_annotations，加入这个指纹信息：

module "cloud-run-app" {
  # 保留原有配置...
  template_annotations = {
    # 原有注释...
    "secret-version-fingerprint" : local.secret_version_fingerprint
  }
}

这样，任何一个Secret的版本更新时，secret_version_fingerprint的值都会变化，Terraform会检测到Cloud Run的模板配置变更，自动重新部署服务，所有新启动的实例会拉取最新的Secret值。

方法二：强制触发Cloud Run滚动更新（手动/半自动化） #

若不想依赖版本号关联，也可通过修改Cloud Run的无关配置触发更新：

• 在service_labels或template_annotations中添加可修改字段，比如"deploy-trigger" : timestamp()，每次需要更新时运行Terraform即可触发部署。
• 或使用gcloud命令手动触发：

gcloud run services update [YOUR_SERVICE_NAME] --region [REGION] --update-annotations=deploy-trigger=$(date +%s)

补充说明 #

• 若你在env_secret_vars中指定的是具体Secret版本号（而非latest），则直接更新env_secret_vars中的版本号，Terraform会自动触发Cloud Run更新。
• Cloud Run实例仅在启动时拉取Secret值，因此必须通过重新部署让所有实例获取最新Secret。

内容的提问来源于stack exchange，提问作者Jordan LE NUFF