概要

以前、CloudRunで秘匿情報を扱うのにberglas（GCPで秘匿情報を扱うためのOSS）を使用しましたが、2020年1月23日公式にGCPで秘匿情報を扱うためのサービスであるSecretManagerが公開されました。

紹介記事

制限事項

まだベータ提供です。
東京リージョンもまだありません。（一番近くて台湾）

なので、GAでないと困る人や、秘匿情報を国外に保持したくない人はまだ使えないです。
ただ、今後GCPで秘匿情報を扱うのはこれが標準になっていくと思われます。

使い方

シークレットを作成する

セキュリティ→シークレットマネージャーから作成します。

「sample-secret」というキーで、「usagisan」という文字列を格納しています。

なお、gcloudコマンドで作成する手順は、上記紹介記事の中に記載があります。

クライアント

シークレットを読み取る例は、下記ドキュメントのCreating and accessing secretsの章が参考になります。

python（Django）での実装例

シークレットを取得して画面に表示するだけのサンプル。
（SecretManagerにアクセスするためのソースはここだけです。他は、Djangoの設定や、コンテナ化、CloudRunへのデプロイ手順です）
views.py

from django.shortcuts import render
from google.cloud import secretmanager_v1beta1 as secretmanager

# Create your views here.
from django.http import HttpResponse

def index(request):
    client = secretmanager.SecretManagerServiceClient()
    # プロジェクトID,シークレットID,バージョン番号
    name = client.secret_version_path('xxxx-xxx-xxxxxx', 'sample-secret', 1)
    response = client.access_secret_version(name)
    payload = response.payload.data.decode('UTF-8')
    return HttpResponse("Hello " + payload + "!")

urls.py

from django.contrib import admin
from django.urls import path
import app.views

urlpatterns = [
    path(r'^admin/', admin.site.urls),
    path(r'', app.views.index, name='index')
]

CloudRunで実行するためにイメージを作成します。

requirements.txt

django
google-cloud-secret-manager

Dockerfile

FROM python:3.8.1-slim

ENV PYTHONDONTWRITEBYTECODE 1  
ENV PYTHONUNBUFFERED 1 

RUN apt-get update \
    && apt-get upgrade -y \
    && apt-get clean \
    && rm -rf /var/lib/apt/lists/* \
    && pip install --upgrade pip

# 作業するディレクトリを変更
WORKDIR /app
# アプリのコピー
COPY . /app

# pythonのパッケージをインストール
RUN pip install -r requirements.txt

EXPOSE 8000

CMD ["python3", "manage.py", "runserver", "0.0.0.0:8000"]

setting.pyの変更（セキュリティは一旦置いといて）

#ALLOWED_HOSTS = []
ALLOWED_HOSTS=['*']

# LANGUAGE_CODE = 'en-us'

# TIME_ZONE = 'UTC'

LANGUAGE_CODE = 'ja'

TIME_ZONE = 'Asia/Tokyo'

CloudRunにデプロイ

イメージをContainerRegistoryに保存

gcloud auth configure-docker
docker build -t asia.gcr.io/<プロジェクトID>/<イメージ名>:<タグ名> .
docker push asia.gcr.io/<プロジェクトID>/<イメージ名>:<タグ名>

デプロイ

ContainerRegistoryに登録したイメージを選択

東京リージョンを選択、未認証の呼び出しを許可をチェック、ポート番号を変更してデプロイ

動作確認

デプロイが終わるとURLが発行されるので動作確認。

きっとエラーになります。

SecretManagerへは明示的にアクセス許可を与えないと権限エラーとなるためですね。

というわけで、IAMに権限を付与します。

再度アクセスすると、無事表示されました。

おわりに

紹介記事ではberglasとの関係という内容で、berglasからでもアクセスできる記載がありましたが、これから始める人はSecretManagerを直接使えば良さそうですね。
今すでにberglasで運用している人は格納場所はSecretManagerに寄せてアクセスはberglasのままという使い方もできそうです。