如何为Vertex AI自定义容器任务通过gcloud传入安全运行时环境变量

报错是因为gcloud beta ai系列命令默认调用Vertex AI v1beta1版本API，该版本的ContainerSpec规范中环境变量字段名为environmentVariables而非env，且直接在配置文件中写入涉密环境变量存在明文泄露风险，以下是两种适配方案：

方案1：非敏感环境变量快速配置 #

如果传入的是非涉密测试变量，直接替换字段名即可，配置示例如下：

# config.yaml 非敏感变量配置
workerPoolSpecs:
  machineSpec:
    machineType: n1-highmem-2
    acceleratorType: NVIDIA_TESLA_P100
    acceleratorCount: 2
  replicaCount: 1
  containerSpec:
    imageUri: {URI_FOR_CUSTOM_CONATINER}
    args:
    - {ARGS TO PASS TO CONTAINER ENTRYPOINT COMMAND}
    environmentVariables:
      TEST_VAR: "test_value"

也可以直接将命令中的gcloud beta ai改为gcloud ai，使用稳定版V1 API即可直接兼容你原来写的env字段配置。

方案2：涉密环境变量安全配置（推荐） #

涉密变量不要直接写入配置文件，可通过Secret Manager存储后注入，具体操作如下：

• 先将涉密值上传为Secret Manager中的独立密钥，为密钥赋予Vertex AI任务运行服务账号的读取权限
• 修改config.yaml配置，通过secret字段引用密钥即可自动注入为容器环境变量，配置示例：

workerPoolSpecs:
  machineSpec:
    machineType: n1-highmem-2
    acceleratorType: NVIDIA_TESLA_P100
    acceleratorCount: 2
  replicaCount: 1
  containerSpec:
    imageUri: {URI_FOR_CUSTOM_CONATINER}
    args:
    - {ARGS TO PASS TO CONTAINER ENTRYPOINT COMMAND}
  secret:
    - secret: SECRET_ONE
      version: latest
      env: SECRET_ONE
    - secret: SECRET_TWO
      version: latest
      env: SECRET_TWO

该方案不会在配置、任务日志、运行信息中泄露涉密变量明文，符合安全规范。

内容的提问来源于stack exchange，提问作者JmeCS