云运行/秘密管理器免费层
我正在使用Cloud作为我正在开发的项目的后端，部分原因是它的免费级(每月200万次请求，免费)。但是这些服务需要一些秘密值(数据库密码、Oauth密钥等)，因此我遵循了Google的建议，将这些值存储在Google秘密管理器中，并通过Cloud作为环境变量加载它们。
然而，秘密管理器的免费层的限制要大得多，每月只有10,000个免费访问操作。如果云运行为几乎每个请求都增加了一个容器，那么它似乎也必须以大约这个速率访问机密，从而大大减少了免费层配额。
因此，我的问题是，我应该如何为我的云运行实例设置环境变量，而不破坏使平台如此吸引人的免费层呢？简单地将数据库密码等放在环境变量中似乎是个坏主意，但我不清楚这个项目究竟会带来多大的安全风险，因为这个项目是一个学生网站，数据库中不包含任何敏感的个人信息，而且考虑到一个对Google云控制台有管理权限的用户无论如何都可以从秘密管理器那里访问秘密值。
回答 2
Server Fault用户
发布于 2022-02-24 06:48:48
付秘密经理的钱。这些硬件安全模块和实现它的遵从性认证都不是免费的。
或者想出一个不同的解决方案。不同的秘密管理软件，不那么复杂的存储秘密的纯文本文件，不同的应用程序部署模式。它可能与只使用托管云运行产品不兼容。
在我看来，考虑到这个项目是一个学生网站，数据库中不包含任何敏感的个人信息，这个项目的安全风险究竟有多大？
从总体上看，这可能会给你的组织带来很小的风险，但是对秘密的粗心大意是一个坏习惯。
每个应用程序，即使是在一个简单的遵从环境中的小应用程序，都应该得到一定程度的机密保护。至少限制访问配置文件。绝对没有嵌入到应用程序代码中。
对Google控制台具有管理权限的用户无论如何都可以访问来自秘密管理器的秘密值。
对授权管理员隐藏数据不是秘密系统的重点。任何对秘密的访问或删除都会被记录下来。从理论上讲，这样可以捕捉到将这些信息泄露给攻击者，或者在本应旋转的时间之后使用旧版本。
Server Fault用户
发布于 2022-02-24 14:09:27
为了保持低成本，您需要弄清楚什么是最好的方法，以保持您的容器上升或允许它关闭。
简而言之，云运行容器在关闭之前可以空闲15分钟。最大化它的启动时间往往避免额外的要求秘密经理。
您可以配置一个监视系统，以便每10分钟向应用程序发送请求，在访问次数最多的时间内发送请求，以便保持容器正常运行，并在访问次数较少的时间内不发送请求，以便使其在夜间关闭。
通过这种方式，可以减少集装箱在营业时间内的启动和冷启动，并允许它们在夜间关闭以节省成本。
https://serverfault.com/questions/1094558
复制相似问题
腾讯云开发者
