如何通过GitLab CI流水线批量将变量传入GCP Secret Manager？

方案1：手动指定变量列表循环创建 #

适合明确知道要同步哪些变量的场景，直接在CI脚本里通过循环批量处理：

# 定义需要同步的GitLab CI变量名列表
SECRETS_TO_SYNC=("DB_PASSWORD" "API_KEY" "JWT_SECRET")

for SECRET_NAME in "${SECRETS_TO_SYNC[@]}"; do
  # 从环境变量中读取对应值，写入临时文件
  echo "${!SECRET_NAME}" > "/tmp/${SECRET_NAME}.txt"
  # 创建GCP Secret Manager密钥
  gcloud secrets create "${SECRET_NAME}" --data-file="/tmp/${SECRET_NAME}.txt"
  # 可选：给密钥版本添加同步来源注释
  # gcloud secrets versions add "${SECRET_NAME}" --data-file="/tmp/${SECRET_NAME}.txt" --description="Synced from GitLab CI"
done

方案2：自动筛选带特定前缀的变量 #

如果你的GitLab CI变量有统一前缀（比如GCP_SECRET_），可以自动筛选这类变量同步，无需手动维护列表：

# 遍历所有环境变量，筛选出以GCP_SECRET_开头的变量
for VAR_NAME in "${!GCP_SECRET_@}"; do
  # 去掉前缀作为GCP Secret的名称
  SECRET_NAME="${VAR_NAME#GCP_SECRET_}"
  # 将变量值写入临时文件
  echo "${!VAR_NAME}" > "/tmp/${SECRET_NAME}.txt"
  # 创建密钥
  gcloud secrets create "${SECRET_NAME}" --data-file="/tmp/${SECRET_NAME}.txt"
done

注意事项 #

• 确保GitLab CI Runner已配置GCP权限：提前在GitLab CI变量中设置GOOGLE_APPLICATION_CREDENTIALS，指向服务账号密钥文件（或直接将密钥内容作为变量，写入临时文件后使用）。
• 若目标密钥已存在，gcloud secrets create会报错，如需更新现有密钥，改用gcloud secrets versions add命令。
• 临时文件使用后建议删除，避免残留敏感数据：rm /tmp/*.txt

内容的提问来源于stack exchange，提问作者Snowfire