Google Cloud Secrets - 重用密鑰

Question

我在 NodeJS 項目中使用 Google Cloud Secrets。 我不再使用預設的環境變量，而是試圖找出存儲和重用機密的最佳實踐。

我發現使用秘密的 3 條主要途徑是：

1. 在啟動時獲取所有秘密並將它們設置為 ENV 變量以供以后使用
2. 在啟動時獲取所有秘密並設置為常量變量
3. 每次需要秘密時，從 Cloud Secrets 獲取它

谷歌自己的最佳實踐文檔提到了 2 個相互矛盾的事情：

1. 在啟動時使用 ENV 變量設置機密（來源）
2. 不要使用 ENV 變量，因為它們可以在調試端點和遍歷攻擊等中訪問（來源）

我的問題是：

1. 我應該將秘密存儲為要重復使用的變量還是應該每次都獲取它們？
2. 這對配額有影響嗎？

Answer 1

最佳實踐是加載一次密鑰（在啟動時，或第一次訪問）以優化性能並防止 API 調用延遲。 是的，訪問秘密配額會影響每次訪問。

如果調試器工具連接到環境，變量和環境變量數據可能會受到損害。 威脅大致相同。 確保正確保護環境。