如何给运行在GCP cloud run上的应用授予访问gcp服务的权限

Question

我正在开发一个从 gcp 秘密管理器访问秘密的 nodejs 应用程序。 我使用 GOOGLE_APPLICATION_CREDENTIALS 变量通过定向凭据在本地运行它。

然后我尝试将此服务部署到 google cloud run，现在它抛出错误

 Error: 7 PERMISSION_DENIED: Permission 'secretmanager.versions.access' denied

我想知道如何向云运行容器添加凭据。 我看到了一些将凭证文件包含在代码中的实现。 从云运行容器访问 gcp 资源的最佳实践是什么？

Answer 1

您可能希望找到Cloud Run 使用的服务帐户，并为该服务帐户授予针对所需秘密的相关 IAM 角色——很可能是秘密管理器秘密访问者角色 (roles/secretmanager.secretAccessor)。

您不需要任何凭据文件。 在任何情况下，请不要在代码存储库中保留任何凭据。

======

在@kolban评论后更新