Google Cloud Build 不会替换 cloudbuild.yaml 的 secrets 部分中的值

Question

我正在尝试创建一个 Cloud Build 触发器，其中使用 Cloud KMS 对秘密环境变量进行加密并存储为 Cloud Build 中的替换变量。这样我的云构建 yaml 是相当通用的，并且在我们部署到的所有环境中都是相同的。

这个云构建 yaml 工作正常：

steps:
- name: 'ubuntu'
  entrypoint: 'bash'
  args: ['-c', 'echo "$$APP_NAME HAS A VALUE $$HELLO_WORLD"']
  env:
    - 'APP_NAME=${_APP_NAME}'
  secretEnv:
    - 'HELLO_WORLD'
secrets:
- kmsKeyName: 'projects/my-first-cicd-project/locations/europe-west1/keyRings/keyring-dev/cryptoKeys/key-backend'
  secretEnv:
    HELLO_WORLD: xxxxxxxxxxx

构建步骤生成此日志行：

My App Name HAS A VALUE Hello there world!

完全符合预期。

现在对于不起作用的事情，或者至少我无法上班。假设我想让密钥环名称动态化。然后我将该 yaml 中的“keyring-dev”替换为${_KMS_KEYRING_NAME}. 这将产生如下错误：

invalid build: failed to check access to "projects/my-first-cicd-project/locations/europe-west1/keyRings/${_KMS_KEYRING_NAME}/cryptoKeys/key-backend"

如果我将 YAML 中的 base64 字符串（以“CiQAH...”开头）更改为诸如 ${_KMS_VAR_HELLO_WORLD} 之类的替换变量，我将收到此错误：

failed unmarshalling build config cloudbuild.yaml: illegal base64 data at input byte 0

仅供参考：base64 字符串的值不超过变量值的最大字符数 255。

所以我的猜测是，Cloud Build 不会替换 cloudbuild.yaml 的 secrets 部分中的任何内容。有谁知道这个问题的解决方案？

Answer 1

这是 API 的已知限制。

• 尽管秘密值使用“字节”字段，但替换适用于“字符串”字段。因此，我们不能对它们应用替代值。
• 对于Keyring名称和项目，更改它们会改变加密内容，并且内容不可替代。