Google Cloud Secrets - 重用密钥

Question

我在 NodeJS 项目中使用 Google Cloud Secrets。 我不再使用预设的环境变量，而是试图找出存储和重用机密的最佳实践。

我发现使用秘密的 3 条主要途径是：

1. 在启动时获取所有秘密并将它们设置为 ENV 变量以供以后使用
2. 在启动时获取所有秘密并设置为常量变量
3. 每次需要秘密时，从 Cloud Secrets 获取它

谷歌自己的最佳实践文档提到了 2 个相互矛盾的事情：

1. 在启动时使用 ENV 变量设置机密（来源）
2. 不要使用 ENV 变量，因为它们可以在调试端点和遍历攻击等中访问（来源）

我的问题是：

1. 我应该将秘密存储为要重复使用的变量还是应该每次都获取它们？
2. 这对配额有影响吗？

Answer 1

最佳实践是加载一次密钥（在启动时，或第一次访问）以优化性能并防止 API 调用延迟。 是的，访问秘密配额会影响每次访问。

如果调试器工具连接到环境，变量和环境变量数据可能会受到损害。 威胁大致相同。 确保正确保护环境。