如何在Google Cloud Composer中从Vault、LastPass等第三方提供商获取密码？

现有方案可行性优化建议 #

• 方案1（Vault对接）：是长期可维护性最高的方案，适配企业级密钥管理合规要求。无需通过ssh在Composer中启用Vault，直接在Composer环境的PyPI依赖中添加hvac（Vault官方Python SDK），将封装好的Vault密钥拉取脚本上传到Composer对应GCS桶的dags/utils目录下，直接在smtp_password_cmd中配置调用该脚本的命令即可，脚本和配置都可以统一版本管理，后续修改不需要重建Composer环境。
• 方案2（LastPass直接对接）：不需要做密钥迁移的首选方案，实际配置量远低于预估。无需修改现有业务DAG代码，仅需两步即可完成：
  1. 在Airflow Connections界面新增LastPass专属连接，加密存储LastPass的API访问密钥
  2. 编写单文件自定义Hook继承airflow.hooks.base.BaseHook，封装LastPass Open API拉取LDAP凭证的逻辑，将Hook文件放到dags全局可调用目录下，smtp_password_cmd直接指定调用该Hook输出凭证的命令即可
• 方案3（硬编码隐藏）：存在明文泄露风险，不符合基础安全合规要求，不建议采用。

轻量替代方案 #

如果不想维护额外的SDK或Hook逻辑，可以直接使用LastPass官方CLI工具：将CLI二进制包上传到Composer环境的自定义插件目录，在Composer环境变量中加密配置LastPass的登录会话令牌，smtp_password_cmd直接调用lpass show <凭证条目标识> --password即可完成凭证拉取，整个配置过程不超过30分钟。

内容的提问来源于stack exchange，提问作者spongebob_is_crazy