Configurar secretos para servicios

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Selecciona Servicios en el menú y haz clic en Implementar contenedor para configurar un nuevo servicio. Rellena la página de configuración inicial del servicio y, a continuación, haz clic en Contenedores, volúmenes, redes y seguridad para desplegar la página de configuración del servicio.

3. Si vas a configurar un servicio que ya tienes, haz clic en él y, luego, en Editar y desplegar nueva revisión.

4. Sigue los pasos para montar el secreto como un volumen o exponerlo como una variable de entorno.

   • Para exponer el secreto como una variable de entorno, sigue estos pasos:

     1. Haz clic en la pestaña Contenedores.
     2. En la pestaña Variables y secretos, haga clic en Hacer referencia a un secreto.
     3. En el campo Nombre 1, introduce el nombre de la variable de entorno.
     4. En la lista Secreto, selecciona el secreto que quieras usar.
     5. En la lista Versión 1, selecciona la versión del secreto al que quieras hacer referencia.
     6. Haz clic en Listo.
     7. Haz clic en Crear o en Implementar.

   • Para montar un secreto como volumen, sigue estos pasos:

     1. Haz clic en la pestaña Volúmenes y selecciona Añadir volumen.
     2. En la lista Tipo de volumen, selecciona Secreto.
     3. En el campo Nombre del volumen, introduce un nombre o acepta el predeterminado.
     4. En la lista Secreto, selecciona el secreto que quieras usar.
     5. En el campo Ruta 1, introduce el nombre del archivo que quieras montar.
     6. En la lista Versión 1, selecciona la versión del secreto al que quieras hacer referencia. De forma predeterminada, se selecciona la versión más reciente. Si quieres, puedes seleccionar una versión específica.
     7. Haz clic en Listo.
     8. Vaya a la pestaña Contenedor(es) para montar su secreto en el contenedor.
     9. En la pestaña Montajes de volumen, haz clic en Montar volumen.
     10. En la lista Nombre 1, selecciona el nombre del volumen.
     11. En el campo Ruta de montaje 1, introduce la ruta de montaje de este secreto. Este es el directorio en el que se colocan todas las versiones de tu secreto.
     12. Haz clic en Listo.
     13. Haz clic en Crear o en Implementar.

gcloud

Para que tu servicio pueda acceder a un secreto, introduce uno de los siguientes comandos.

• Para montar el secreto como volumen al desplegar un servicio, sigue estos pasos:

  gcloud run deploy SERVICE --image IMAGE_URL  \
  --update-secrets=PATH=SECRET_NAME:VERSION

  Haz los cambios siguientes:

  • SERVICE: el nombre de tu servicio.
  • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
  • PATH: la ruta de montaje del volumen y el nombre de archivo del secreto. Debe empezar por una barra diagonal. Por ejemplo: /etc/secrets/dbconfig/password, donde /etc/secrets/dbconfig/ es la ruta de montaje del volumen y password es el nombre de archivo del secreto.
  • SECRET_NAME: el nombre del secreto en el mismo proyecto, por ejemplo, mysecret.
  • VERSION: la versión del secreto. Usa latest para obtener la versión más reciente o un número (por ejemplo, 2).

• Para exponer el secreto como una variable de entorno al implementar un servicio, sigue estos pasos:

  gcloud run deploy SERVICE \
  --image IMAGE_URL \
  --update-secrets=ENV_VAR_NAME=SECRET_NAME:VERSION

  Haz los cambios siguientes:

  • SERVICE: el nombre de tu servicio.
  • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
  • ENV_VAR_NAME: el nombre de la variable de entorno que quieras usar con el secreto.
  • SECRET_NAME: el nombre del secreto en el mismo proyecto, por ejemplo, mysecret.
  • VERSION: la versión del secreto. Usa latest para obtener la versión más reciente o un número (por ejemplo, 2).

• Puedes actualizar varios secretos a la vez. Para ello, separa las opciones de configuración de cada secreto con una coma. El siguiente comando actualiza un secreto montado como volumen y otro secreto expuesto como variable de entorno.

  Para actualizar los secretos, introduce el siguiente comando:

  gcloud run deploy SERVICE --image IMAGE_URL \
  --update-secrets=PATH=SECRET_NAME:VERSION,ENV_VAR_NAME=SECRET_NAME:VERSION

• Para borrar los secretos actuales y hacer que un nuevo secreto sea accesible para el servicio, usa la marca --set-secrets:

  gcloud run services update SERVICE \
  --set-secrets="ENV_VAR_NAME=SECRET_NAME:VERSION"

YAML

1. Si va a crear un servicio, puede saltarse este paso. Si va a actualizar un servicio, descargue su configuración YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. En el caso de los secretos expuestos como variables de entorno, en env, actualiza ENV_VAR, VERSION y/o SECRET_NAME según tus preferencias. Si tienes varios secretos montados como variables de entorno, tendrás varios de estos atributos.

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION
       spec:
         containers:
         - image: IMAGE_URL
           env:
           - name: ENV_VAR
             valueFrom:
               secretKeyRef:
                 key: VERSION
                 name: SECRET_NAME

3. En el caso de los secretos montados como rutas de archivo, actualiza MOUNT_PATH, VOLUME_NAME, VERSION, FILENAME o SECRET_NAME según sea necesario. Si tienes varios secretos montados como rutas de archivo, tendrás varios de estos atributos.

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION
       spec:
         containers:
         - image: IMAGE_URL
           volumeMounts:
           - mountPath: MOUNT_PATH
             name: VOLUME_NAME
         volumes:
         - name: VOLUME_NAME
           secret:
             items:
             - key: VERSION
               path: FILENAME
             secretName: SECRET_NAME

   Ten en cuenta que VOLUME_NAME puede tener cualquier nombre.

   Haz los cambios siguientes:

   • SERVICE: el nombre de tu servicio de Cloud Run.
   • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
   • REVISION con un nuevo nombre de revisión o elimínelo (si está presente). Si proporcionas un nuevo nombre de revisión, debe cumplir los siguientes criterios:
     • Empieza por SERVICE-
     • Contiene solo letras minúsculas, números y -
     • No termina con -
     • No supera los 63 caracteres

4. Sustituye el servicio por su nueva configuración con el siguiente comando:

   gcloud run services replace service.yaml

Terraform

1. Crea un secreto y una versión del secreto.

   resource "google_secret_manager_secret" "default" {
     secret_id = "my-secret"
     replication {
       auto {}
     }
   }
   
   resource "google_secret_manager_secret_version" "default" {
     secret      = google_secret_manager_secret.default.name
     secret_data = "this is secret data"
   }

2. Crea una cuenta de servicio y concédele acceso al secreto:

   resource "google_service_account" "default" {
     account_id   = "cloud-run-service-account"
     display_name = "Service account for Cloud Run"
   }
   
   resource "google_secret_manager_secret_iam_member" "default" {
     secret_id = google_secret_manager_secret.default.id
     role      = "roles/secretmanager.secretAccessor"
     # Grant the new deployed service account access to this secret.
     member     = "serviceAccount:${google_service_account.default.email}"
     depends_on = [google_secret_manager_secret.default]
   }

3. Se puede acceder a los secretos de Secret Manager desde Cloud Run como rutas de archivos montadas o como variables de entorno.

   1. En el caso de los secretos montados como rutas de archivo, haz referencia al recurso de Secret Manager en el parámetro volumes. El name se corresponde con una entrada del parámetro volume_mounts:

      resource "google_cloud_run_v2_service" "mounted_secret" {
        name     = "service-with-mounted-secret"
        location = "us-central1"
        ingress  = "INGRESS_TRAFFIC_ALL"
      
        deletion_protection = false # set to "true" in production
      
        template {
          volumes {
            name = "my-service-volume"
            secret {
              secret = google_secret_manager_secret.default.secret_id
              items {
                version = "latest"
                path    = "my-secret"
                mode    = 0 # use default 0444
              }
            }
          }
          containers {
            image = "us-docker.pkg.dev/cloudrun/container/hello"
            volume_mounts {
              name       = "my-service-volume"
              mount_path = "/secrets"
            }
          }
          service_account = google_service_account.default.email
        }
        depends_on = [google_secret_manager_secret_version.default]
      }

   2. En el caso de los secretos expuestos como variables de entorno, haz referencia al recurso de Secret Manager en el parámetro env:

      resource "google_cloud_run_v2_service" "env_variable_secret" {
        name     = "service-with-env-var-secret"
        location = "us-central1"
        ingress  = "INGRESS_TRAFFIC_ALL"
      
        deletion_protection = false # set to "true" in production
      
        template {
          containers {
            image = "us-docker.pkg.dev/cloudrun/container/hello"
            env {
              name = "MY_SECRET"
              value_source {
                secret_key_ref {
                  secret  = google_secret_manager_secret.default.secret_id
                  version = "latest"
                }
              }
            }
          }
          service_account = google_service_account.default.email
        }
        depends_on = [google_secret_manager_secret_version.default]
      }

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Selecciona Servicios en el menú y haz clic en Implementar contenedor para configurar un nuevo servicio. Rellena la página de configuración inicial del servicio y, a continuación, haz clic en Contenedores, volúmenes, redes y seguridad para desplegar la página de configuración del servicio.

3. Si vas a configurar un servicio que ya tienes, haz clic en él y, luego, en Editar y desplegar nueva revisión.

4. Sigue los pasos para montar el secreto como un volumen o exponerlo como una variable de entorno.

   • Para exponer el secreto como una variable de entorno, sigue estos pasos:

     1. Haz clic en la pestaña Contenedores.
     2. En la pestaña Variables y secretos, haga clic en Hacer referencia a un secreto.
     3. En el campo Nombre 1, introduce el nombre de la variable de entorno.
     4. En la lista Secreto, haz clic en Introducir secreto manualmente.

     5. Introduce el ID de recurso del secreto con el siguiente formato:

        projects/PROJECT_NUMBER/secrets/SECRET_NAME
        

        Haz los cambios siguientes:

        • PROJECT_NUMBER con el número de tu proyecto Google Cloud . Para obtener instrucciones detalladas sobre cómo encontrar el número de tu proyecto, consulta el artículo Crea y gestiona proyectos.

        • SECRET_NAME: nombre del secreto en Secret Manager.

     6. En la lista Versión 1, selecciona la versión del secreto al que quieras hacer referencia.

     7. Haz clic en Listo.

     8. Haz clic en Crear o en Implementar.

   • Para montar un secreto como volumen, sigue estos pasos:

     1. Haz clic en la pestaña Volúmenes y selecciona Añadir volumen.
     2. En la lista Tipo de volumen, selecciona Secreto.
     3. En el campo Nombre del volumen, introduce un nombre o acepta el predeterminado.
     4. En la lista Secreto, haz clic en Introducir secreto manualmente.

     5. Introduce el ID de recurso del secreto con el siguiente formato:

        projects/PROJECT_NUMBER/secrets/SECRET_NAME
        

        Haz los cambios siguientes:

        • PROJECT_NUMBER con el número de tu proyecto Google Cloud . Para obtener instrucciones detalladas sobre cómo encontrar el número de tu proyecto, consulta el artículo Crea y gestiona proyectos.

        • SECRET_NAME: nombre del secreto en Secret Manager.

     6. En el campo Ruta 1, introduce el nombre del archivo que quieras montar.

     7. En la lista Versión 1, selecciona la versión del secreto al que quieras hacer referencia. De forma predeterminada, se selecciona la versión más reciente. Si quieres, puedes seleccionar una versión específica.

     8. Haz clic en Listo.

     9. Vaya a la pestaña Contenedor(es) para montar su secreto en el contenedor.

     10. En la pestaña Montajes de volumen, haz clic en Montar volumen.

     11. En la lista Nombre 1, selecciona el nombre del volumen.

     12. En el campo Ruta de montaje 1, introduce la ruta de montaje de este secreto. Este es el directorio en el que se colocan todas las versiones de tu secreto.

     13. Haz clic en Listo.

     14. Haz clic en Crear o en Implementar.

gcloud

• Para montar un secreto como volumen al desplegar un servicio, sigue estos pasos:

  gcloud run deploy SERVICE --image IMAGE_URL  \
  --update-secrets=PATH=projects/PROJECT_NUMBER/secrets/SECRET_NAME:VERSION

  Haz los cambios siguientes:

  • SERVICE: el nombre de tu servicio.
  • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
  • PATH: la ruta de montaje del volumen y el nombre de archivo del secreto. Debe empezar por una barra diagonal. Por ejemplo: /etc/secrets/dbconfig/password, donde /etc/secrets/dbconfig/ es la ruta de montaje del volumen y password es el nombre de archivo del secreto.
  • PROJECT_NUMBER con el número del proyecto en el que se creó el secreto.
  • SECRET_NAME: el nombre del secreto (por ejemplo, mysecret).
  • VERSION con la versión del secreto. Usa latest para obtener la versión más reciente o un número (por ejemplo, 2).

YAML

1. Si va a crear un servicio, puede saltarse este paso. Si va a actualizar un servicio, descargue su configuración YAML:

   gcloud run services describe SERVICE --format export > service.yaml

Debido a las restricciones relacionadas con la compatibilidad de las APIs, las ubicaciones de los secretos deben almacenarse en una anotación.

1. En el caso de los secretos expuestos como variables de entorno:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
       spec:
         containers:
         - image: IMAGE_URL
           env:
           - name: ENV_VAR
             valueFrom:
               secretKeyRef:
                 key: VERSION
                 name: SECRET_LOOKUP_NAME

   Haz los cambios siguientes:

   • SERVICE: el nombre de tu servicio.
   • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • ENV_VAR
   • PROJECT_NUMBER: el número del proyecto en el que se creó el secreto.
   • SECRET_NAME: el nombre del secreto (por ejemplo, mysecret).
   • VERSION: la versión del secreto. Usa latest para obtener la versión más reciente o un número (por ejemplo, 2).
   • SECRET_LOOKUP_NAME: cualquier nombre que tenga una sintaxis de nombre de secreto válida. Por ejemplo, my-secret puede ser el mismo que SECRET_NAME.

2. En el caso de los secretos montados como rutas de archivos:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
       spec:
         containers:
         - image: IMAGE_URL
           volumeMounts:
           - mountPath: MOUNT_PATH
             name: VOLUME_NAME
         volumes:
         - name: VOLUME_NAME
           secret:
             items:
             - key: VERSION
               path: FILENAME
             secretName: SECRET_LOOKUP_NAME

   Haz los cambios siguientes:

   • SERVICE: el nombre de tu servicio.
   • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
   • PATH: la ruta de montaje del volumen y el nombre de archivo del secreto. Debe empezar por una barra diagonal. Por ejemplo: /etc/secrets/dbconfig/password, donde /etc/secrets/dbconfig/ es la ruta de montaje del volumen y password es el nombre de archivo del secreto.
   • PROJECT_NUMBER: el número del proyecto en el que se creó el secreto.
   • SECRET_NAME: el nombre del secreto (por ejemplo, mysecret).
   • VERSION: la versión del secreto. Usa latest para obtener la versión más reciente o un número (por ejemplo, 2).
   • SECRET_LOOKUP_NAME: cualquier nombre que tenga una sintaxis de nombre de secreto válida. Por ejemplo, my-secret puede ser el mismo que SECRET_NAME.
   • VOLUME_NAME: cualquier nombre, por ejemplo, my-volume. Puede ser el mismo que SECRET_NAME.

Terraform

Para saber cómo aplicar o quitar una configuración de Terraform, consulta Comandos básicos de Terraform.

Para los secretos expuestos como variables de entorno:

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE_NAME"
  location = "REGION"

  template {
    containers {
      image = "IMAGE_URL"
      env {
        name = "SECRET_NAME"
        value_source {
          secret_key_ref {
            secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
            version = "VERSION"
          }
        }
      }
    }
  }
}

Haz los cambios siguientes:

• SERVICE_NAME: el nombre de tu tarea de Cloud Run.
• REGION: la Google Cloud región. Por ejemplo, europe-west1.
• IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• SECRET_NAME: el nombre del secreto (por ejemplo, mysecret).
• PROJECT_ID: el ID del proyecto en el que se creó el secreto.
• VERSION: la versión del secreto. Usa latest para la versión más reciente o un número (por ejemplo, 2).

Para los secretos montados como rutas de archivo:

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE_NAME"
  location = "REGION"

  template {
    containers {
      image = "IMAGE_URL"

      volume_mounts {
        name       = "VOLUME_NAME"
        mount_path = "MOUNT_PATH"
      }
    }

    volumes {
      name = "VOLUME_NAME"
      secret {
        secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
      }
    }
  }
}

Haz los cambios siguientes:

• SERVICE_NAME: el nombre de tu tarea de Cloud Run.
• REGION con la región Google Cloud . Por ejemplo, europe-west1.
• IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
• VOLUME_NAME: cualquier nombre (por ejemplo, my-volume). Puede ser el mismo que SECRET_NAME.
• MOUNT_PATH: la ruta de montaje del volumen y el nombre de archivo del secreto. Debe empezar por una barra diagonal. Por ejemplo: /etc/secrets/dbconfig/password, donde /etc/secrets/dbconfig/ es la ruta de montaje del volumen y password es el nombre de archivo del secreto.
• PROJECT_ID: el ID del proyecto en el que se creó el secreto.
• SECRET_NAME: el nombre del secreto (por ejemplo, mysecret).

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Haz clic en el servicio que te interese para abrir la página Detalles del servicio.

3. Haz clic en la pestaña Revisiones.

4. En el panel de detalles de la derecha, el ajuste de secretos se encuentra en la pestaña Contenedor.

gcloud

1. Usa el siguiente comando:

   gcloud run services describe SERVICE

2. Localiza el ajuste de secretos en la configuración devuelta.

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Selecciona tu servicio en la lista y haz clic en Editar y desplegar nueva revisión.

3. Haz clic en la pestaña Contenedores.

4. Para eliminar secretos montados como un volumen, selecciona la pestaña Montajes de volumen, coloca el puntero sobre el secreto que quieras eliminar y haz clic en delete Eliminar.

5. Para eliminar los secretos expuestos como variables de entorno, selecciona la pestaña Variables y secretos, coloca el puntero sobre el secreto que quieras eliminar y haz clic en delete Eliminar.

6. Haz clic en Desplegar.

gcloud

Puedes quitar todos los secretos de un servicio o especificar uno o varios secretos que quieras quitar:

• Para eliminar todos los secretos, ejecuta el siguiente comando:

  gcloud run deploy SERVICE --image IMAGE_URL \
  --clear-secrets
  

  Haz los cambios siguientes:

  • SERVICE: el nombre de tu servicio.
  • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .

• Para especificar una lista de secretos que quieras eliminar, usa la marca --remove-secrets. El siguiente comando elimina un secreto montado como un volumen y otro secreto expuesto como una variable de entorno:

  gcloud run deploy SERVICE --image IMAGE_URL \
  --remove-secrets=ENV_VAR_NAME,SECRET_FILE_PATH
  

  Haz los cambios siguientes:

  • SERVICE: el nombre de tu servicio.
  • IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
  • ENV_VAR_NAME: el nombre de la variable de entorno.

  • SECRET_FILE_PATH: la ruta completa del secreto. Por ejemplo, /mnt/secrets/primary/latest, donde /mnt/secrets/primary/ es la ruta de montaje y latest es la ruta secreta. También puedes especificar las rutas de montaje y de secreto por separado:

        --set-secrets MOUNT_PATH:SECRET_PATH=SECRET:VERSION