如何對 gcloud 項目管理員隱藏秘密？

Question

我是 Google Cloud 項目的開發運營工程師和項目管理員。 組織有一些超級敏感的密鑰，應該由運行在 Kube.netes 或 Cloud Run 中的容器訪問，但我不應該訪問它們。

到目前為止，我認為 Secrets Manager 和 KMS 是可能的解決方案。 我有這個項目的管理員權限，所以這些秘密可能應該存儲在 CTO 擁有的另一個項目中並交叉引用。

另外我有監控正在運行的容器的所有權限，有什么辦法可以防止在運行時泄露給我的秘密嗎？ 應該使用什么解決方案？

Answer 1

如果您是項目所有者，您無法從技術上防止秘密泄露。

如果機密存儲在另一個項目中，則無法通過 UI 訪問機密。 但是，這也意味着服務帳戶可以訪問存儲在另一個項目中的秘密。 因為你是項目所有者，你可以模擬有權訪問秘密的服務帳戶，並訪問它。

---

解決該問題的唯一方法是最小特權原則。 只有項目的最低權限，而不是安全管理員角色。

當您必須授予服務帳戶權限時，您需要使用自動化系統，例如 CI/CD 和 terraform。 當然，每次更新都需要由另一個人審查，你不能在沒有同行審查的情況下更新 CI/CD 管道並授予自己權限（例如服務帳戶模擬）。