使用github操作和github秘密将配置文件传递给Google Cloud函数

Question

我在开发计算机上有一个config.py文件，该文件为我的配置设置存储了多个词典。

config.py：

SERVICE_ONE_CREDENTIALS = {
    "CLIENT_ID": 000,
    "CLIENT_SECRET": "abc123"
}

SERVICE_TWO_CREDENTIALS = {
    "VERIFY_TOKEN": "abc123"
}
...

我最近设置了此 github action 要自动将被推到存储库的更改部署到Google Cloud函数中，并在尝试复制此配置文件时遇到问题，因为由于该文件存储了敏感的凭据，因此从GIT中忽略了该文件。

我一直在尝试找到一种将此文件复制到云功能的方法，但尚未成功。由于键的数量，我希望远离使用环境变量。我确实考虑使用密钥管理服务，但是我首先想看看是否可以将文件存储在GitHub Secrets中并将其传递给功能。

作为备份，我确实考虑过加密配置文件，将其添加到git reto中，并将解密密钥存储在github秘密中。这样，在开始应用程序工作流之前，我可以在云功能中解密文件。不过，这似乎不是一个好主意，但是很感兴趣地看看是否有人这样做或您对此有何想法。

这样的事情吗？

Answer 1

如果您加密并放入存储库，至少是不清楚的文字，并且没有私钥就无法秘密（当然，您不会检查哪个）。我在Dotfiles回购中做类似的事情，在其中我用秘密检查了DAT文件，而私钥未签入。这有点机械，但可能。

使用GitHub Secrets是一条安全的路径，因为您没有签入任何东西，它已牢固地存储，如果引用了它，我们将其通过。不顾一切，我从事行动。

一个考虑因素是我们从日志中随机编辑了秘密，但一次完成了一行。多行秘密不好。

因此，有几个选项...

您可以将实际的秘密（ABC123）作为秘密管理，并与秘密相呼应配置文件。正如您指出的那样，您必须单独管理每个秘密。恕我直言，这没什么大不了的，因为ABC123实际上是秘密。我可能会倾向于那条路。

另一个选项是base64编码配置文件，将其作为秘密存储在github操作中，然后将Echo base64解码为文件。不用担心，Base64不是这里的安全机制。它是将其转到一条线路的运输方式，如果它意外地泄漏到日志中（您运行的命令行），将从日志中删除它的base64版本（很容易被解码）。

可能还有其他选择，但希望有所帮助。