如何在VSTS自动化构建中安全使用GCP服务账号JSON密钥？

嗨Andy，刚接触GCP和Azure DevOps（原VSTS）的时候，确实会纠结这类安全凭证的处理问题，我来给你梳理几个靠谱的方案，从最常用的到更先进的无密钥方式都有：

一、使用Azure DevOps安全文件存储密钥（最直接的方式） #

这是最常用的做法，把你的GCP服务账号JSON密钥作为安全文件存储，避免明文暴露：

• 1. 登录Azure DevOps项目，进入项目设置 > 管道 > 安全文件
• 2. 点击上传文件，选择你的GCP JSON密钥文件，上传后可以给它命名（比如gcp-test-service-account.json）
• 3. 在你的构建管道中，添加一个下载安全文件任务：
  • 选择你刚才上传的密钥文件
  • 设置目标路径为一个临时目录（比如$(Agent.TempDirectory)）
  • 勾选将文件路径作为变量输出，变量名可以设为GCP_KEY_PATH
• 4. 接下来添加一个设置环境变量的任务（或者直接在后续测试任务中配置），把GOOGLE_APPLICATION_CREDENTIALS设为$(GCP_KEY_PATH)
• 这样你的集成测试任务就能自动读取到凭证，而且密钥文件只会在构建代理的临时目录中存在，构建完成后会被自动清理

二、用秘密变量存储密钥内容（适合不想上传文件的场景） #

如果不想单独上传密钥文件，也可以把JSON内容存在秘密变量里：

• 1. 进入项目设置 > 管道 > 变量组（或者直接在构建管道的变量里），创建一个秘密变量（比如GCP_SERVICE_ACCOUNT_JSON），把JSON密钥的全部内容粘贴进去（秘密变量会自动加密存储）
• 2. 在构建管道中添加一个脚本任务（PowerShell或Bash），把变量内容写入临时文件：
  • Bash脚本示例：

    echo "$(GCP_SERVICE_ACCOUNT_JSON)" > $(Agent.TempDirectory)/gcp-key.json
    echo "##vso[task.setvariable variable=GOOGLE_APPLICATION_CREDENTIALS]$(Agent.TempDirectory)/gcp-key.json"
    

  • PowerShell脚本示例：

    $jsonContent = "$(GCP_SERVICE_ACCOUNT_JSON)"
    $keyPath = Join-Path $(Agent.TempDirectory) "gcp-key.json"
    Set-Content -Path $keyPath -Value $jsonContent
    Write-Host "##vso[task.setvariable variable=GOOGLE_APPLICATION_CREDENTIALS]$keyPath"
    

• 3. 后续的集成测试任务就能通过环境变量读取到密钥文件了，注意不要在脚本中输出变量内容，避免泄露

三、无密钥认证：工作负载身份联合（推荐长期使用） #

这是GCP和Azure DevOps集成的更安全方案，不需要存储任何密钥，直接通过身份联合来认证：

• 1. 在GCP中创建工作负载身份池和提供者，配置信任Azure DevOps的身份提供者（需要指定你的Azure DevOps组织和项目信息）
• 2. 把你的测试服务账号和这个工作负载身份提供者关联，授予它访问测试资源的权限
• 3. 在Azure DevOps的构建管道中，使用GCP的官方任务（比如Google Cloud SDK任务），或者在脚本中使用gcloud auth login命令，通过工作负载身份联合认证：

  gcloud auth login --cred-file=- << EOF
  $(GCP_WORKLOAD_IDENTITY_CONFIG)
  EOF
  

  （这里的GCP_WORKLOAD_IDENTITY_CONFIG是你在GCP中生成的配置内容，同样存在秘密变量里）
• 这种方式完全避免了密钥的存储和传输，是现在云原生场景下的最佳实践

额外安全建议 #

• 继续保持你的最小权限原则：确保服务账号只拥有集成测试所需的权限，不要给多余的权限
• 构建完成后手动清理临时文件：虽然Azure DevOps代理会自动清理，但可以在管道最后添加一个脚本删除密钥文件，双重保险
• 启用管道审计：在Azure DevOps中开启管道的审计日志，追踪凭证的使用情况
• 不要在日志中输出任何敏感内容：确保你的测试脚本不会把密钥或认证信息打印到构建日志里

内容的提问来源于stack exchange，提问作者AndyM