Google Cloud Secrets Manager 拒絕訪問 App Engine 應用程序，但可與 Google Cloud Function 一起使用

Question

我正在嘗試連接以從 google 的機密管理器獲取機密，並且相同的代碼適用於 Cloud Functions，但不適用於 App Engine。

const { SecretManagerServiceClient } = require('@google-cloud/secret-manager');

const secretManagerServiceClient = new SecretManagerServiceClient();
const name = 'projects/000000000000/secrets/database/versions/latest';

exports.testSecretManager = async (req, res) => {
  const [version] = await secretManagerServiceClient.accessSecretVersion({ name });
  const payload = version.payload.data.toString();
  console.debug(`Payload: ${payload}`);
  res.sendStatus(200);
};

當我將它部署為 function 時，相同的代碼工作正常。

但是當我運行相同的代碼作為 App Engine 應用程序的一部分時。 它失敗並出現此錯誤：

Error: 16 UNAUTHENTICATED: Failed to retrieve auth metadata with error: Could not refresh access token: Unsuccessful response status code. Request failed with status code 500
    at Object.callErrorFromStatus (/workspace/node_modules/@grpc/grpc-js/build/src/call.js:31:26)
    at Object.onReceiveStatus (/workspace/node_modules/@grpc/grpc-js/build/src/client.js:180:52)
    at Object.onReceiveStatus (/workspace/node_modules/@grpc/grpc-js/build/src/client-interceptors.js:365:141)
    at Object.onReceiveStatus (/workspace/node_modules/@grpc/grpc-js/build/src/client-interceptors.js:328:181)
    at /workspace/node_modules/@grpc/grpc-js/build/src/call-stream.js:182:78
    at processTicksAndRejections (node:internal/process/task_queues:78:11)

我相信 Cloud Functions 和 App Engine 都由同一個服務帳戶“App Engine 默認服務帳戶”管理。 它有權利。

環境中似乎缺少GOOGLE_APPLICATION_CREDENTIALS 。

console.log(process.env.GOOGLE_APPLICATION_CREDENTIALS); 給我不確定。 這能成為理由嗎？ 那么我該如何將這個環境傳遞給應用引擎呢？

我怎樣才能更深入地調試這個？

Answer 1

確保從 IAM 為 App Engine 的服務賬戶授予Secret Manager Secret Accessor角色。 您需要添加的確切角色是：roles/secretmanager.secretAccessor。 您可以參考這里了解更多詳情。

另外，看看這個Stackoverflow 案例。

Answer 2

谷歌雲文檔說明：

要將 Secret Manager 與在 App Engine 上運行的工作負載一起使用，您必須向 App Engine 服務授予任何所需的權限。

我可以驗證它在我的情況下是否正常工作（盡管我確實必須在我的秘密請求中指定正確的應用程序 ID，並在IAM 控制台中為服務帳戶啟用秘密訪問者角色。）

Answer 3

請在這里找到一個寫得很漂亮的答案。

而且，官方的 Google 文檔也沒有將 GAE 列為直接支持的產品，但是，如果您願意，GCE/GKE 是開箱即用的。