如何设置 GKE 集群和 GKE pod 必须与存储在谷歌云秘密管理器上的云 sql 和云 sql 密码进行通信

Question

我正在尝试设置谷歌 kubernetes 引擎，它的 pod 必须与云 sql 数据库通信。 云 sql 数据库凭证存储在谷歌云秘密管理器上。 pod 将如何从 secret manager 获取凭证，以及 secret manager 凭证是否更新，pod 将如何更新新的 secret。

如何设置上述要求。 你能有人帮忙吗？

谢谢， 阿南德

Answer 1

您可以让已部署的应用程序以编程方式从 Google Cloud Secret Manager 获取密钥（密码）。 您可以在以下链接中找到多种语言的示例： https://cloud.google.com/secret-manager/docs/samples/secretmanager-access-secret-version

但在确保您的 GKE 设置之前，更具体地说，您的应用程序能够向 Google Cloud Secret Manager 进行身份验证。 以下链接可以帮助您选择合适的方法：

• https://cloud.google.com/kubernetes-engine/docs/tutorials/authenticating-to-cloud-platform
• https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity

Answer 2

您可以在此文档中找到有关该特定解决方案的信息。
这里和这里也有关于介质的很好的例子。

要回答有关更新机密的问题：
通常在创建容器时会提取秘密，但如果您希望凭证经常更改（或让 pod 停留很长时间），您可以调整代码以在每次执行时更新秘密。