GKE Secret 或 Google Secret 管理器

Question

有谁知道在什么情况下选择 Kubernetes 秘密而不是 google 秘密管理器，反之亦然？两者有何区别？

Answer 1

通过 Kubernetes Secret (K8S Secret)，您可以使用 K8S 的内置功能。您可以在配置映射中加载您的秘密，并将它们安装在需要它们的 Pod 上。

专业版

如果有一天您想在 AWS、Azure 或本地部署（仍然在 K8S 上），行为将是相同的，无需在代码中执行更新。

缺点

这些秘密只能由 K8S 集群访问，无法与其他 GCP 服务重用它们

注意：使用 GKE，ETCD 组件会使用 KMS 服务中的密钥自动加密，以保持秘密的静态加密，这是没有问题的。但是，每个 K8S 安装并不总是相同的，尤其是在内部，秘密以纯文本形式保存。请注意这部分的安全性。

Secret Manager 是由 Google 管理的保管库。您可以使用 API 来读取和写入它们，并且 IAM 服务会检查授权。

专业版

它是一项 Google Cloud 服务，只要您获得授权，您就可以从任何 GCP 服务（Compute Engine、Cloud Run、App Engine、Cloud Functions、GKE...）访问它

缺点

这是 Google Cloud 特定产品，您已被锁定。