能否通过Cloud Run环境变量访问GCP Secret Manager单密钥的单个键值对？

直接通过dev-secret.db_username这种语法访问单个键值是不可行的，因为Secret Manager的单个密钥是作为整体内容存储的，Cloud Run默认不会自动拆分其中的键值对。不过可以通过以下两种方案实现类似需求：

方案一：应用内部解析密钥内容 #

将整个dev-secret作为环境变量注入Cloud Run，然后在应用代码中解析出单个键值：

1. 在Cloud Run配置中，添加环境变量（比如DEV_SECRET），值设置为Secret Manager中dev-secret的最新版本引用（格式：projects/[你的项目ID]/secrets/dev-secret/versions/latest）
2. 应用启动时读取该环境变量，按行拆分并解析键值对

以Python代码为例：

import os

def parse_multi_key_secret(secret_content):
    secret_dict = {}
    for line in secret_content.strip().split('\n'):
        if '=' in line:
            key, val = line.split('=', 1)
            secret_dict[key.strip()] = val.strip()
    return secret_dict

# 读取环境变量中的完整密钥内容
full_secret = os.getenv('DEV_SECRET')
# 解析为键值对字典
secrets = parse_multi_key_secret(full_secret)
# 访问单个键值
db_username = secrets['db_username']
db_password = secrets['db_password']

方案二：通过启动脚本解析密钥文件为环境变量 #

将dev-secret挂载为容器内的文件，再通过启动脚本将键值对导出为环境变量：

1. 在Cloud Run配置中，将dev-secret挂载到容器内的路径（比如/secrets/dev-secret）
2. 编写bash启动脚本，读取密钥文件内容并导出每个键值为环境变量
3. 将启动脚本设置为容器的入口命令

示例bash启动脚本：

#!/bin/bash
# 逐行解析密钥文件，导出为环境变量
while IFS='=' read -r key value; do
    # 去除键和值两端的空格
    key=$(echo "$key" | xargs)
    value=$(echo "$value" | xargs)
    export "$key"="$value"
done < /secrets/dev-secret

# 启动应用程序（替换为你的应用启动命令）
exec python app.py

替代方案：拆分密钥为单独Secret #

如果不想做额外解析，更直接的方式是将每个键值对单独存储为Secret Manager的密钥（比如dev-db-username、dev-db-password），然后在Cloud Run中分别设置对应的环境变量，直接引用单个密钥。这种方式无需额外代码处理，但会增加密钥的数量。

内容的提问来源于stack exchange，提问作者sidharth vijayakumar