GCP Cloud Run部署.NET 5.0应用如何通过Secret Manager配置appsettings.json敏感参数

直接用机密文件替换整个appsettings.json并不是最优方案，存在配置更新不灵活、权限管控粒度粗、普通配置与敏感配置耦合的问题，更推荐以下两种实现方式，其中环境变量注入方案的使用体验和Azure App Service引用Key Vault的逻辑几乎一致：

方案1：环境变量映射机密（首选方案） #

Cloud Run支持直接将Secret Manager中的机密映射为服务的环境变量，结合.NET原生的配置覆盖规则，无需修改业务代码即可实现和Azure类似的效果：

• 首先将敏感配置值（比如数据库连接串）存入Secret Manager，可单独为每个敏感参数创建独立机密，比如命名为Db-Connection
• 部署Cloud Run时，将该机密映射为符合.NET配置规则的环境变量：将环境变量名设置为ConnectionStrings__DefaultConnection（双下划线对应appsettings.json中的层级冒号），值选择关联Secret Manager中对应机密的版本
• .NET配置系统会自动优先读取环境变量的值，覆盖appsettings.json中的同名配置项，运行时无需做任何代码调整

该方案优势：

• 完全复用.NET原生配置逻辑，无额外代码侵入
• 敏感信息不会明文出现在Cloud Run的环境变量配置中，运行时由Cloud Run自动拉取Secret Manager的机密值
• 配置拆分清晰，非敏感的普通配置可直接设为明文环境变量，敏感配置单独走Secret Manager管控，权限粒度更精细

方案2：挂载机密为配置文件（适合多敏感参数场景） #

如果你的应用有大量敏感配置需要批量管理，可以单独将敏感配置段存为独立的机密文件，而非替换整个appsettings.json：

• 单独创建仅包含敏感配置的json文件，比如appsettings.secrets.json，内容示例：

{
  "ConnectionStrings": {
    "DefaultConnection": "你的数据库连接串",
    "OtherSecret": "其他敏感配置值"
  }
}

• 将该json文件作为机密存入Secret Manager，部署Cloud Run时将其挂载到应用工作目录下，路径设为/app/appsettings.secrets.json
• 在.NET程序的配置构建逻辑中新增该文件作为配置源，示例代码：

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureAppConfiguration((context, config) =>
        {
            config.AddJsonFile("appsettings.secrets.json", optional: true, reloadOnChange: false);
        })
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder.UseStartup<Startup>();
        });

注意：两种方案都需要先给Cloud Run运行时使用的服务账号授予对应机密的Secret Manager 机密访问者权限，否则无法正常读取机密值。

内容的提问来源于stack exchange，提问作者Ogglas