Как читать переменные из файла, расшифрованного во время сборки, с помощью Google Cloud Build и Google Cloud KMS

Когда вы шифруете свой контент с помощью gcloud kms encrypt, вы можете записать вывод в файл в своей рабочей области, например:

# replace with your values
gcloud kms encrypt \
  --location=global \
  --keyring=my-kr \
  --key=my-key \
  --plaintext-file=./data-to-encrypt \
  --ciphertext-file=./encrypted-data

Где ./data-to-encrypt – это файл на диске, содержащий ваш секретный открытый текст, а ./encrypted-data – путь назначения на диске, куда должен быть записан зашифрованный зашифрованный текст.

При работе напрямую с API взаимодействие выглядит так:

plaintext -> kms(encrypt) -> ciphertext

Однако при работе с gcloud это выглядит так:

plaintext-file -> gcloud(read) -> kms(encrypt) -> ciphertext -> gcloud(write)

Когда вы вызываете Cloud Build, он фактически получает архив вашего приложения за вычетом всех файлов, указанных в файле .gcloudignore. Это означает, что ./encrypted-data будет доступен в файловой системе внутри шага контейнера:

steps:
# decrypt the value in ./my-secret
- name: gcr.io/cloud-builders/gcloud
  args:
  - kms
  - decrypt
  - --location=global
  - --keyring=my-kr
  - --key=my-key
  - --ciphertext=file=./encrypted-data
  - --plaintext-file=./my-secret

- name: gcr.io/my-project/my-image
  steps: 
  - my-app start --secret=./my-secret

В настоящее время единственный способ обмена данными между этапами в Cloud Build — это файлы, но все этапы сборки имеют одну и ту же общую файловую систему.