本頁面由 Cloud Translation API 翻譯而成。

設定服務的密鑰

您的服務可能需要 API 金鑰、密碼、憑證或其他機密資訊，才能滿足依附元件需求。對於 Cloud Run，Google 建議您將這類機密資訊儲存在 Secret Manager 中建立的密鑰。

您可以透過下列兩種方式，讓容器使用密鑰：

將每個密鑰掛接為磁碟區，讓容器以檔案形式存取密鑰。讀取磁碟區時，系統一律會從 Secret Manager 擷取密鑰值，因此可搭配最新版本使用。這個方法也適用於密鑰輪替。
使用環境變數傳遞密鑰。環境變數會在執行個體啟動時解析，因此如果您使用這個方法，Google 建議您將密鑰固定在特定版本，而不是使用 latest。

詳情請參閱 Secret Manager 最佳做法文件。

部署和執行階段如何檢查密鑰

在服務部署期間，系統會檢查所有使用的密鑰 (無論是做為環境變數或以磁碟區形式掛接)，確保用於執行容器的服務帳戶有權存取這些密鑰。如果任何檢查失敗，服務部署就會失敗。

在執行階段，當執行個體啟動時：

如果密鑰是環境變數，系統會在啟動執行個體前擷取密鑰值，因此如果擷取失敗，執行個體就不會啟動。
如果密鑰是掛接為磁碟區，執行個體啟動時不會進行檢查。不過，在執行階段，如果無法存取密鑰，嘗試讀取已掛接的磁碟區就會失敗。

磁碟區擁有權會因執行環境和部署類型而異

掛接 Secret 磁碟區時，檔案和目錄的擁有者身分會因工作負載的執行環境，以及部署作業是否包含一或多個容器而有所不同。

在部署單一容器的第一代執行環境中，密鑰磁碟區是由用於容器的身分所擁有。在所有其他情況下，磁碟區都由根目錄擁有。包括：

您要部署多個容器的第一代執行環境
第二代環境

事前準備

Enable the Secret Manager API.
Enable the API

使用現有的密鑰，或按照「建立密鑰」一文的說明，在 Secret Manager 中建立密鑰。

必要的角色

如要取得設定密鑰所需的權限，請要求管理員授予下列 IAM 角色：

Cloud Run 管理員 (roles/run.admin) Cloud Run 服務
服務帳戶使用者 (roles/iam.serviceAccountUser) 服務身分

如要允許 Cloud Run 存取密鑰，服務身分必須具備下列角色：

Secret Manager 密鑰存取者 (roles/secretmanager.secretAccessor)

如要瞭解如何將服務身分主體新增至 Secret Manager 密鑰存取者角色，請參閱「管理密鑰存取權」。

如需與 Cloud Run 相關聯的 IAM 角色和權限清單，請參閱 Cloud Run IAM 角色和 Cloud Run IAM 權限。如果 Cloud Run 服務與Google Cloud API (例如 Cloud 用戶端程式庫) 介接，請參閱服務身分設定指南。如要進一步瞭解如何授予角色，請參閱部署權限和管理存取權。

讓 Cloud Run 存取密鑰

變更任何設定都會建立新的修訂版本。除非您明確做出更新，變更這項設定，否則後續的修訂版本也會自動取得這個設定。

部署新服務或更新現有服務並部署版本時，您可以使用 Google Cloud 控制台、Google Cloud CLI 或 YAML 檔案，讓服務存取密鑰。按一下所需的分頁標籤：

控制台

前往 Google Cloud 控制台的 Cloud Run：

前往 Cloud Run
從選單中選取「服務」，然後按一下「部署容器」，設定新服務。填寫初始服務設定頁面，然後按一下「容器、磁碟區、網路與安全性」，展開服務設定頁面。
如要設定現有服務，請按一下該服務，然後點選「編輯並部署新修訂版本」。
按照步驟將密鑰掛接為磁碟區，或以環境變數的形式公開密鑰。
- 如要以環境變數形式公開密鑰，請按照下列步驟操作：
  1. 按一下「容器」分頁標籤。
  2. 在「變數和密鑰」分頁中，按一下「參照密鑰」。
  3. 在「Name 1」(名稱 1) 欄位中，輸入環境變數的名稱。
  4. 從「祕密」清單中，選取要使用的祕密。
  5. 在「版本 1」清單中，選取要參照的密鑰版本。
  6. 按一下 [完成]。
  7. 按一下 [Create] (建立) 或 [Deploy] (部署)。
- 如要將密鑰掛接為磁碟區，請按照下列步驟操作：
  1. 按一下「Volumes」(磁碟區) 分頁標籤，然後選取「Add volume」(新增磁碟區)。
  2. 在「Volume type」(磁碟區類型) 清單中，選取「Secret」(密鑰)。
  3. 在「Volume name」(磁碟區名稱) 欄位中輸入名稱，或接受預設名稱。
  4. 從「祕密」清單中，選取要使用的祕密。
  5. 在「Path 1」欄位中，輸入要掛接的檔案名稱。
  6. 在「Version 1」清單中，選取要參照的密鑰版本。系統預設會選取最新版本。如要選取特定版本，請點選「版本」。
  7. 按一下 [完成]。
  8. 前往「容器」分頁，將密鑰掛接到容器。
  9. 在「Volume mounts」(磁碟區掛接) 分頁中，按一下「Mount volume」(掛接磁碟區)。
  10. 從「名稱 1」清單中選取磁碟區名稱。
  11. 在「Mount path 1」(掛接路徑 1) 欄位中，輸入這個密鑰的掛接路徑。這個目錄會存放所有版本的密鑰。
  12. 按一下 [完成]。
  13. 按一下 [Create] (建立) 或 [Deploy] (部署)。

gcloud

如要讓服務存取密鑰，請輸入下列其中一個指令。

部署服務時，如要將密鑰掛接為磁碟區，請按照下列步驟操作：
```
gcloud run deploy SERVICE --image IMAGE_URL  \
--update-secrets=PATH=SECRET_NAME:VERSION
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- PATH，其中包含磁碟區的掛接路徑和密鑰的檔案名稱。開頭必須為正斜線，例如：/etc/secrets/dbconfig/password，其中 /etc/secrets/dbconfig/ 是磁碟區的掛接路徑，password 則是密鑰的檔案名稱。
- SECRET_NAME，例如 mysecret。
- VERSION，並提供密鑰版本。使用 latest 代表最新版本，或使用數字，例如 2。
如要在部署服務時將密鑰公開為環境變數，請按照下列步驟操作：
```
gcloud run deploy SERVICE \
--image IMAGE_URL \
--update-secrets=ENV_VAR_NAME=SECRET_NAME:VERSION
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- ENV_VAR_NAME 替換為要與密鑰搭配使用的環境變數名稱。
- SECRET_NAME，例如 mysecret。
- VERSION，並提供密鑰版本。使用 latest 代表最新版本，或使用數字，例如 2。
您可以同時更新多個密鑰。如要這麼做，請以半形逗號分隔每個密鑰的設定選項。下列指令會更新一個掛接為磁碟區的密鑰，以及另一個以環境變數形式公開的密鑰。

如要更新現有密碼，請輸入下列指令：
```
gcloud run deploy SERVICE --image IMAGE_URL \
--update-secrets=PATH=SECRET_NAME:VERSION,ENV_VAR_NAME=SECRET_NAME:VERSION
```

如要清除現有密鑰，並讓服務存取新密鑰，請使用 --set-secrets 標記：

gcloud run services update SERVICE \
--set-secrets="ENV_VAR_NAME=SECRET_NAME:VERSION"

YAML

如要建立新服務，請略過這個步驟。如要更新現有服務，請下載其 YAML 設定：
```
gcloud run services describe SERVICE --format export > service.yaml
```

如要以環境變數形式公開密鑰，請在 env 下方視需要更新 ENV_VAR、VERSION 和/或 SECRET_NAME。如果您有多個密鑰以環境變數的形式掛接，就會有多個這類屬性。

apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      name: REVISION
    spec:
      containers:
      - image: IMAGE_URL
        env:
        - name: ENV_VAR
          valueFrom:
            secretKeyRef:
              key: VERSION
              name: SECRET_NAME

如要更新以檔案路徑形式掛接的密鑰，請視需要更新 MOUNT_PATH、VOLUME_NAME、VERSION、FILENAME 和/或 SECRET_NAME。如果有多個密鑰以檔案路徑形式掛接，您就會有多個這類屬性。
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      name: REVISION
    spec:
      containers:
      - image: IMAGE_URL
        volumeMounts:
        - mountPath: MOUNT_PATH
          name: VOLUME_NAME
      volumes:
      - name: VOLUME_NAME
        secret:
          items:
          - key: VERSION
            path: FILENAME
          secretName: SECRET_NAME
```
請注意，VOLUME_NAME 可以設為任何名稱。

取代
- SERVICE 改為 Cloud Run 服務名稱
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- REVISION，並提供新的修訂版本名稱，或刪除該名稱 (如有)。如果您提供新的修訂版本名稱，則必須符合下列條件：
  - 開頭為「SERVICE-」
  - 只能包含小寫字母、數字和 -
  - 結尾不是 -
  - 不超過 63 個半形字元
使用下列指令，以新設定取代服務：
```
gcloud run services replace service.yaml
```

Terraform

建立密鑰和密鑰版本。

resource "google_secret_manager_secret" "default" {
  secret_id = "my-secret"
  replication {
    auto {}
  }
}

resource "google_secret_manager_secret_version" "default" {
  secret      = google_secret_manager_secret.default.name
  secret_data = "this is secret data"
}

建立服務帳戶並授予密鑰存取權：

resource "google_service_account" "default" {
  account_id   = "cloud-run-service-account"
  display_name = "Service account for Cloud Run"
}

resource "google_secret_manager_secret_iam_member" "default" {
  secret_id = google_secret_manager_secret.default.id
  role      = "roles/secretmanager.secretAccessor"
  # Grant the new deployed service account access to this secret.
  member     = "serviceAccount:${google_service_account.default.email}"
  depends_on = [google_secret_manager_secret.default]
}

您可以透過掛接的檔案路徑或環境變數，從 Cloud Run 存取 Secret Manager 密鑰。

如要將密鑰掛接為檔案路徑，請在 volumes 參數中參照 Secret Manager 資源。name 會對應至 volume_mounts 參數中的項目：

resource "google_cloud_run_v2_service" "mounted_secret" {
  name     = "service-with-mounted-secret"
  location = "us-central1"
  ingress  = "INGRESS_TRAFFIC_ALL"

  deletion_protection = false # set to "true" in production

  template {
    volumes {
      name = "my-service-volume"
      secret {
        secret = google_secret_manager_secret.default.secret_id
        items {
          version = "latest"
          path    = "my-secret"
          mode    = 0 # use default 0444
        }
      }
    }
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      volume_mounts {
        name       = "my-service-volume"
        mount_path = "/secrets"
      }
    }
    service_account = google_service_account.default.email
  }
  depends_on = [google_secret_manager_secret_version.default]
}

如要以環境變數形式公開密鑰，請在 env 參數中參照 Secret Manager 資源：

resource "google_cloud_run_v2_service" "env_variable_secret" {
  name     = "service-with-env-var-secret"
  location = "us-central1"
  ingress  = "INGRESS_TRAFFIC_ALL"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      env {
        name = "MY_SECRET"
        value_source {
          secret_key_ref {
            secret  = google_secret_manager_secret.default.secret_id
            version = "latest"
          }
        }
      }
    }
    service_account = google_service_account.default.email
  }
  depends_on = [google_secret_manager_secret_version.default]
}

參照其他專案中的密鑰

如要參照其他專案的密鑰，請確認專案的服務帳戶有權存取該密鑰。

控制台

前往 Google Cloud 控制台的 Cloud Run：

前往 Cloud Run
從選單中選取「服務」，然後按一下「部署容器」，設定新服務。填寫初始服務設定頁面，然後按一下「容器、磁碟區、網路與安全性」，展開服務設定頁面。
如要設定現有服務，請按一下該服務，然後點選「編輯並部署新修訂版本」。
按照步驟將密鑰掛接為磁碟區，或以環境變數的形式公開密鑰。
- 如要以環境變數形式公開密鑰，請按照下列步驟操作：
  1. 按一下「容器」分頁標籤。
  2. 在「變數和密鑰」分頁中，按一下「參照密鑰」。
  3. 在「Name 1」(名稱 1) 欄位中，輸入環境變數的名稱。
  4. 在「密鑰」清單中，按一下「手動輸入密鑰」。
  5. 請以以下格式輸入密鑰的資源 ID：
```
projects/PROJECT_NUMBER/secrets/SECRET_NAME
```
    更改下列內容：
    - 將 PROJECT_NUMBER 改成您的 Google Cloud 專案編號。如需如何找出專案編號的詳細操作說明，請參閱「建立及管理專案」。
    - SECRET_NAME：Secret Manager 中的密鑰名稱。
  6. 在「版本 1」清單中，選取要參照的密鑰版本。
  7. 按一下 [完成]。
  8. 按一下 [Create] (建立) 或 [Deploy] (部署)。
- 如要將密鑰掛接為磁碟區，請按照下列步驟操作：
  1. 按一下「Volumes」(磁碟區) 分頁標籤，然後選取「Add volume」(新增磁碟區)。
  2. 在「Volume type」(磁碟區類型) 清單中，選取「Secret」(密鑰)。
  3. 在「Volume name」(磁碟區名稱) 欄位中輸入名稱，或接受預設名稱。
  4. 在「密鑰」清單中，按一下「手動輸入密鑰」。
  5. 請以以下格式輸入密鑰的資源 ID：
```
projects/PROJECT_NUMBER/secrets/SECRET_NAME
```
    更改下列內容：
    - 將 PROJECT_NUMBER 改成您的 Google Cloud 專案編號。如需如何找出專案編號的詳細操作說明，請參閱「建立及管理專案」。
    - SECRET_NAME：Secret Manager 中的密鑰名稱。
  6. 在「Path 1」欄位中，輸入要掛接的檔案名稱。
  7. 在「Version 1」清單中，選取要參照的密鑰版本。系統預設會選取最新版本。如要選取特定版本，請點選「版本」。
  8. 按一下 [完成]。
  9. 前往「容器」分頁，將密鑰掛接到容器。
  10. 在「Volume mounts」(磁碟區掛接) 分頁中，按一下「Mount volume」(掛接磁碟區)。
  11. 從「名稱 1」清單中選取磁碟區名稱。
  12. 在「Mount path 1」(掛接路徑 1) 欄位中，輸入這個密鑰的掛接路徑。這個目錄會存放所有版本的密鑰。
  13. 按一下 [完成]。
  14. 按一下 [Create] (建立) 或 [Deploy] (部署)。

gcloud

如要在部署服務時將密鑰掛接為磁碟區，請按照下列步驟操作：
```
gcloud run deploy SERVICE --image IMAGE_URL  \
--update-secrets=PATH=projects/PROJECT_NUMBER/secrets/SECRET_NAME:VERSION
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- PATH，其中包含磁碟區的掛接路徑和密鑰的檔案名稱。開頭必須為正斜線，例如：/etc/secrets/dbconfig/password，其中 /etc/secrets/dbconfig/ 是磁碟區的掛接路徑，password 則是密鑰的檔案名稱。
- PROJECT_NUMBER 替換為建立密鑰的專案編號。
- 將 SECRET_NAME 替換為密鑰名稱，例如 mysecret。
- VERSION，並提供密鑰版本。使用 latest 代表最新版本，或使用數字，例如 2。

YAML

如要建立新服務，請略過這個步驟。如要更新現有服務，請下載其 YAML 設定：
```
gcloud run services describe SERVICE --format export > service.yaml
```

由於 API 相容性限制，密鑰位置必須儲存在註解中。

以環境變數形式公開的密鑰：
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
    spec:
      containers:
      - image: IMAGE_URL
        env:
        - name: ENV_VAR
          valueFrom:
            secretKeyRef:
              key: VERSION
              name: SECRET_LOOKUP_NAME
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- ENV_VAR
- PROJECT_NUMBER 替換為建立密鑰的專案編號。
- 將 SECRET_NAME 替換為密鑰名稱，例如 mysecret。
- VERSION，並提供密鑰版本。使用 latest 代表最新版本，或使用數字，例如 2。
- SECRET_LOOKUP_NAME，名稱須符合有效的密鑰名稱語法 (例如 my-secret)，可以與 SECRET_NAME 相同
如要將密鑰掛接為檔案路徑，請按照下列步驟操作：
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
    spec:
      containers:
      - image: IMAGE_URL
        volumeMounts:
        - mountPath: MOUNT_PATH
          name: VOLUME_NAME
      volumes:
      - name: VOLUME_NAME
        secret:
          items:
          - key: VERSION
            path: FILENAME
          secretName: SECRET_LOOKUP_NAME
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- PATH，其中包含磁碟區的掛接路徑和密鑰的檔案名稱。開頭必須為正斜線，例如：/etc/secrets/dbconfig/password，其中 /etc/secrets/dbconfig/ 是磁碟區的掛接路徑，password 則是密鑰的檔案名稱。
- PROJECT_NUMBER 替換為建立密鑰的專案編號。
- 將 SECRET_NAME 替換為密鑰名稱，例如 mysecret。
- VERSION，並提供密鑰版本。使用 latest 代表最新版本，或使用數字，例如 2。
- SECRET_LOOKUP_NAME，名稱須符合有效的密鑰名稱語法 (例如 my-secret)，可以與 SECRET_NAME 相同
- VOLUME_NAME (例如 my-volume)，可以與 SECRET_NAME 相同

Terraform

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

在 Terraform 設定中，將下列內容新增至 google_cloud_run_v2_service 資源：

以環境變數形式公開的密鑰：

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE_NAME"
  location = "us-central1"

  template {
    containers {
      image = "IMAGE_URL"
      env {
        name = "SECRET_NAME"
        value_source {
          secret_key_ref {
            secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
            version = "VERSION"
          }
        }
      }
    }
  }
}

取代：

SERVICE_NAME 改為您的 Cloud Run 工作名稱。
IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
將 SECRET_NAME 替換為密鑰名稱，例如 mysecret。
將 PROJECT_ID 替換為建立密鑰的專案 ID。
VERSION，並提供密鑰版本。使用 latest 代表最新版本，或使用數字，例如 2。

對於以檔案路徑形式掛接的密鑰：

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE_NAME"
  location = "us-central1"

  template {
    containers {
      image = "IMAGE_URL"

      volume_mounts {
        name       = "VOLUME_NAME"
        mount_path = "MOUNT_PATH"
      }
    }

    volumes {
      name = "VOLUME_NAME"
      secret {
        secret = "projects/PROJECT_ID/secrets/SECRET_NAME"
      }
    }
  }
}

取代：

SERVICE_NAME 改為您的 Cloud Run 工作名稱。
IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
VOLUME_NAME，名稱不限 (例如 my-volume)，可以與 SECRET_NAME 相同
MOUNT_PATH，並提供磁碟區的掛接路徑和密鑰的檔案名稱。開頭必須為正斜線，例如：/etc/secrets/dbconfig/password，其中 /etc/secrets/dbconfig/ 是磁碟區的掛接路徑，password 則是密鑰的檔案名稱。
將 PROJECT_ID 替換為建立密鑰的專案 ID。
將 SECRET_NAME 替換為密鑰名稱，例如 mysecret。

查看密鑰設定

如要查看 Cloud Run 服務目前的密鑰設定：

控制台

前往 Google Cloud 控制台的 Cloud Run：

前往 Cloud Run
按一下感興趣的服務，開啟「服務詳細資料」頁面。
按一下「Revisions」(修訂版本) 分頁標籤。
在右側的詳細資料面板中，密鑰設定會列在「容器」分頁下方。

gcloud

使用下列指令：
```
gcloud run services describe SERVICE
```
在傳回的設定中找出密鑰設定。

從服務中移除密鑰

如要從服務中移除密鑰，可以使用 Google Cloud 控制台或 gcloud CLI：

主控台

前往 Google Cloud 控制台的 Cloud Run：

前往 Cloud Run
從清單中選取服務，然後按一下「Edit and deploy new revision」(編輯及部署新版本)。
按一下「容器」分頁標籤。
如要刪除以磁碟區形式掛接的密鑰，請選取「磁碟區掛接」分頁標籤，將指標懸停在要移除的密鑰上，然後按一下「刪除」。
如要刪除以環境變數形式公開的密鑰，請選取「變數和密鑰」分頁，將指標懸停在要移除的密鑰上，然後按一下「刪除」圖示。
按一下 [Deploy] (部署)。

gcloud

您可以從服務中移除所有密鑰，或指定要移除的一或多個密鑰：

如要移除所有密鑰，請執行下列指令：
```
gcloud run deploy SERVICE --image IMAGE_URL \
--clear-secrets
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
如要指定要移除的密鑰清單，請使用 --remove-secrets 旗標。下列指令會移除一個以磁碟區形式掛接的密鑰，以及另一個以環境變數形式公開的密鑰：
```
gcloud run deploy SERVICE --image IMAGE_URL \
--remove-secrets=ENV_VAR_NAME,SECRET_FILE_PATH
```
取代：
- SERVICE 改為您的服務名稱。
- IMAGE_URL，並參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- ENV_VAR_NAME：環境變數名稱。
- SECRET_FILE_PATH：密鑰的完整路徑。舉例來說，/mnt/secrets/primary/latest，其中 /mnt/secrets/primary/ 是掛接路徑，latest 則是密鑰路徑。您也可以分別指定掛接路徑和密鑰路徑：
```
    --set-secrets MOUNT_PATH:SECRET_PATH=SECRET:VERSION
```

在程式碼中使用密鑰

如需在程式碼中以環境變數形式存取密鑰的範例，請參閱使用者驗證教學課程，特別是「使用 Secret Manager 處理機密設定」一節。

不允許的路徑和限制

Cloud Run 不允許您在 /dev、/proc 和 /sys 或其子目錄中掛接密鑰。

如果您要在 /tmp 上掛接密鑰，且使用第一代執行環境，請參閱在 /tmp 上掛接密鑰的已知問題。

Cloud Run 不允許您在同一路徑掛接多個密鑰，因為兩個磁碟區掛接點無法掛接在同一位置。

覆寫目錄

如果密鑰在 Cloud Run 中以磁碟區形式掛接，且磁碟區掛接路徑中的最後一個目錄已存在，則現有目錄中的任何檔案或資料夾都會無法存取。

舉例來說，如果名為 my-secret 的密鑰已掛接至路徑 /etc/app_data，則 app_data 目錄中的所有內容都會遭到覆寫，且只會顯示 /etc/app_data/my-secret 檔案。

為避免覆寫現有目錄中的檔案，請建立新目錄來掛接密鑰，例如 /etc/app_data/secrets，這樣密鑰的掛接路徑就會是 /etc/app_data/secrets/my-secret。

設定服務的密鑰 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

部署和執行階段如何檢查密鑰

磁碟區擁有權會因執行環境和部署類型而異

事前準備

必要的角色

讓 Cloud Run 存取密鑰

控制台

gcloud

YAML

Terraform

參照其他專案中的密鑰

控制台

gcloud

YAML

Terraform

查看密鑰設定

控制台

gcloud

從服務中移除密鑰

主控台

gcloud

在程式碼中使用密鑰

不允許的路徑和限制

覆寫目錄

設定服務的密鑰