如何在本地环境中从 GCP 的 Secret Manager 获取机密？

一分耕耘，一分收获！既然打开了这篇文章《如何在本地环境中从 GCP 的 Secret Manager 获取机密？》，就坚持看下去吧！文中内容包含等等知识点...希望你能在阅读本文后，能真真实实学到知识或者帮你解决心中的疑惑，也欢迎大佬或者新人朋友们多留言评论，多给建议！谢谢！

我在 secrets manager 控制台上创建了一个密钥。然后我尝试使用 go 代码快速入门指南，例如

ctx := context.Background()
client, err := secretmanager.NewClient(ctx)
if err != nil {
    log.Println(err)
}

// Build the request.
req := &secretmanagerpb.AccessSecretVersionRequest{
    Name: "projects/my-project/secrets/API_KEY/versions/latest",
}

// Call the API.
result, err := client.AccessSecretVersion(ctx, req)
if err != nil {
    log.Println(err)
}

但后来我明白了

rpc 错误：code = permissiondenied desc = 资源“projects/my-project/secrets/api_key/versions/latest”的权限“secretmanager.versions.access”被拒绝（或者可能不存在）

这是有道理的，因为秘密管理器 api 如何知道我的代码具有管理员权限？

解决方案

根据@sethvargo的建议，请按照以下身份验证设置说明来解决错误：

1. 安装客户端库。

2. 要运行客户端库，您必须首先设置身份验证。

   2.a 创建服务帐户。将 name 替换为服务名称 帐户。

   gcloud iam service-accounts create name

   2.b 向服务帐户授予角色。运行以下命令一次 对于以下每个 iam 角色：角色/所有者

   将 project_id 替换为您的项目 id。

   将 role 替换为每个单独的角色。

   gcloud projects add-iam-policy-binding project_id --member="serviceaccount:name@project_id.iam.gserviceaccount.com" --role=role

   2.c 生成密钥文件。将 file_name 替换为密钥文件的名称。

   gcloud iam service-accounts keys create file_name.json --iam-account=name@project_id.iam.gserviceaccount.com

3. 通过设置环境变量 google_application_credentials 向您的应用程序代码提供身份验证凭据。

运行以下命令：

export GOOGLE_APPLICATION_CREDENTIALS="KEY_PATH"

1. 使用客户端库。

更多信息请拨打documentation

终于介绍完啦！小伙伴们，这篇关于《如何在本地环境中从 GCP 的 Secret Manager 获取机密？》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布Golang相关知识，快来关注吧！