如何在GCP中跨项目迁移Secret Manager中的密钥？

下面提供几种顺畅的迁移方式，覆盖不同场景需求：

1. gcloud命令行批量迁移 #

这是最直接高效的方式，适合一次性迁移所有密钥：

步骤： #

1. 先设置源项目和目标项目的环境变量：

SOURCE_PROJECT="你的源项目ID"
TARGET_PROJECT="你的目标项目ID"

2. 导出源项目的所有密钥列表：

gcloud secrets list --project $SOURCE_PROJECT --format="value(name)" > secrets-list.txt

3. 循环复制每个密钥及所有版本：

while read secret; do
  # 创建目标项目的空密钥，同步源密钥的标签、复制策略等配置
  gcloud secrets create "$secret" \
    --project $TARGET_PROJECT \
    --replication-policy="automatic" \
    --labels=$(gcloud secrets describe "$secret" --project $SOURCE_PROJECT --format="value(labels)")
  
  # 获取该密钥的所有有效版本
  VERSIONS=$(gcloud secrets versions list "$secret" --project $SOURCE_PROJECT --filter="state:ENABLED" --format="value(name)")
  
  # 逐个复制版本内容
  for version in $VERSIONS; do
    VERSION_NUM=$(echo $version | cut -d'/' -f3)
    gcloud secrets versions add "$secret" \
      --project $TARGET_PROJECT \
      --data-file=<(gcloud secrets versions access "$VERSION_NUM" --project $SOURCE_PROJECT --secret "$secret")
  done
done < secrets-list.txt

注意： #

• 操作账号需同时拥有源项目的roles/secretmanager.secretAccessor权限，以及目标项目的roles/secretmanager.admin权限
• 若源密钥使用区域化复制策略，需将--replication-policy替换为对应区域配置（如--replication-policy="user-managed" --locations="us-central1"）

2. API/客户端库自定义迁移 #

适合需要定制迁移逻辑的场景（比如只迁移特定标签的密钥、过滤过期版本），以Python为例：

from google.cloud import secretmanager_v1

# 初始化源项目和目标项目的客户端
source_client = secretmanager_v1.SecretManagerServiceClient()
target_client = secretmanager_v1.SecretManagerServiceClient()

source_project_id = "你的源项目ID"
target_project_id = "你的目标项目ID"

# 遍历源项目所有密钥
source_parent = f"projects/{source_project_id}"
for secret in source_client.list_secrets(request={"parent": source_parent}):
    secret_id = secret.name.split("/")[-1]
    target_parent = f"projects/{target_project_id}"

    # 创建目标密钥，同步源密钥的元数据
    create_req = {
        "parent": target_parent,
        "secret_id": secret_id,
        "secret": {
            "replication": secret.replication,
            "labels": secret.labels,
            "expire_time": secret.expire_time
        }
    }
    target_client.create_secret(request=create_req)

    # 复制所有启用状态的版本
    versions = source_client.list_secret_versions(request={"parent": secret.name})
    for version in versions:
        if version.state != secretmanager_v1.SecretVersion.State.ENABLED:
            continue
        # 获取源版本内容
        access_req = {"name": version.name}
        payload = source_client.access_secret_version(request=access_req).payload.data
        # 写入目标密钥
        add_req = {
            "parent": f"{target_parent}/secrets/{secret_id}",
            "payload": {"data": payload}
        }
        target_client.add_secret_version(request=add_req)

注意： #

• 需安装依赖库：pip install google-cloud-secretmanager
• 确保服务账号拥有对应项目的权限

3. 基础设施即代码（IaC）迁移 #

如果已用Terraform管理密钥，可通过以下步骤迁移：

• 使用terraform import将源项目的密钥导入本地Terraform状态
• 修改配置文件中的project字段为目标项目ID
• 执行terraform plan验证变更，再运行terraform apply完成迁移

这种方式适合需要长期维护密钥生命周期的场景，迁移后可统一管理跨项目的密钥配置。

关键注意事项 #

• 权限验证：操作前确认账号在源项目有读取权限，目标项目有创建/写入权限
• 版本过滤：建议只迁移启用状态的版本，避免无效数据
• 配置同步：同步密钥的标签、过期时间、复制策略等元数据，保持环境一致性

内容的提问来源于stack exchange，提问作者Unlimited