보안 비밀 구성

콘솔

1. Google Cloud 콘솔에서 Cloud Run으로 이동합니다.

   Cloud Run으로 이동

2. 컨테이너 배포를 클릭하고 서비스를 선택하여 새 서비스를 구성합니다. 초기 서비스 설정 페이지를 작성한 후 컨테이너, 볼륨, 네트워킹, 보안을 클릭하여 서비스 구성 페이지를 펼칩니다.

3. 기존 서비스를 구성하는 경우 서비스를 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

4. 단계에 따라 보안 비밀을 볼륨으로 마운트하거나 보안 비밀을 환경 변수로 노출합니다.

   • 보안 비밀을 볼륨으로 마운트하려면 다음 단계를 따르세요.

     1. 볼륨 탭을 클릭하고 볼륨 추가를 선택합니다.
     2. 볼륨 유형 목록에서 보안 비밀을 선택합니다.
     3. 볼륨 이름 필드에 이름을 입력하거나 기본 이름을 사용합니다.
     4. 보안 비밀 목록에서 사용할 보안 비밀을 선택합니다.
     5. 경로 1 필드에 마운트할 파일의 이름을 입력합니다.
     6. 버전 1 목록에서 참조할 보안 비밀 버전을 선택합니다. 기본적으로 최신 버전이 선택됩니다. 원하는 경우 특정 버전을 선택할 수 있습니다.
     7. 완료를 클릭합니다.
     8. 컨테이너 탭으로 이동하여 컨테이너에 보안 비밀을 마운트합니다.
     9. 볼륨 마운트 탭에서 볼륨 마운트를 클릭합니다.
     10. 이름 1 목록에서 볼륨 이름을 선택합니다.
     11. 마운트 경로 1 필드에 이 보안 비밀의 마운트 경로를 입력합니다. 이는 모든 버전의 보안 비밀이 저장되는 디렉터리입니다.
     12. 완료를 클릭합니다.
     13. 만들기 또는 배포를 클릭합니다.

   • 보안 비밀을 환경 변수로 노출하려면 다음 절차를 따르세요.

     1. 컨테이너 탭을 클릭합니다.
     2. 변수 및 보안 비밀 탭에서 보안 비밀 참조를 클릭합니다.
     3. 이름 1 필드에 환경 변수의 이름을 입력합니다.
     4. 보안 비밀 목록에서 사용할 보안 비밀을 선택합니다.
     5. 버전 1 목록에서 참조할 보안 비밀 버전을 선택합니다.
     6. 완료를 클릭합니다.
     7. 만들기 또는 배포를 클릭합니다.

gcloud

서비스에서 보안 비밀에 액세스할 수 있게 하려면 다음 명령어 중 하나를 입력합니다.

• 서비스를 배포할 때 보안 비밀을 볼륨으로 마운트하려면 다음을 실행합니다.

  gcloud run deploy SERVICE --image IMAGE_URL  \
  --update-secrets=PATH=SECRET_NAME:VERSION

  다음과 같이 바꿉니다.

  • SERVICE를 서비스 이름으로 바꿉니다.
  • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
  • PATH: 볼륨의 마운트 경로 및 보안 비밀의 파일 이름 /etc/secrets/dbconfig/password와 같이 선행 슬래시로 시작해야 합니다. 여기서 /etc/secrets/dbconfig/는 볼륨의 마운트 경로이고, password는 보안 비밀의 파일 이름입니다.
  • SECRET_NAME을 동일한 프로젝트의 보안 비밀 이름으로 바꿉니다(예: mysecret).
  • VERSION: 보안 비밀 버전. 최신 버전에 latest 또는 정수(예: 2)를 사용하세요.

• 서비스를 배포할 때 보안 비밀을 환경 변수로 노출하려면 다음을 실행합니다.

  gcloud run deploy SERVICE \
  --image IMAGE_URL \
  --update-secrets=ENV_VAR_NAME=SECRET_NAME:VERSION

  다음과 같이 바꿉니다.

  • SERVICE를 서비스 이름으로 바꿉니다.
  • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
  • ENV_VAR_NAME을 보안 비밀에 사용하려는 환경 변수의 이름으로 바꿉니다.
  • SECRET_NAME을 동일한 프로젝트의 보안 비밀 이름으로 바꿉니다(예: mysecret).
  • VERSION: 보안 비밀 버전. 최신 버전에 latest 또는 정수(예: 2)를 사용하세요.

• 여러 보안 비밀을 동시에 업데이트할 수 있습니다. 이렇게 하려면 각 보안 비밀의 구성 옵션을 쉼표로 구분합니다. 다음 명령어는 볼륨으로 마운트된 보안 비밀 하나와 환경 변수로 노출된 다른 보안 비밀을 업데이트합니다.

  기존 보안 비밀을 업데이트하려면 다음 명령어를 입력합니다.

  gcloud run deploy SERVICE --image IMAGE_URL \
  --update-secrets=PATH=SECRET_NAME:VERSION,ENV_VAR_NAME=SECRET_NAME:VERSION

• 기존 보안 비밀을 삭제하고 서비스에서 새 보안 비밀에 액세스할 수 있게 하려면 --set-secrets 플래그를 사용합니다.

  gcloud run services update SERVICE \
  --set-secrets="ENV_VAR_NAME=SECRET_NAME:VERSION"

YAML

1. 새 서비스를 만드는 경우에는 이 단계를 건너뜁니다. 기존 서비스를 업데이트하는 경우 YAML 구성을 다운로드합니다.

   gcloud run services describe SERVICE --format export > service.yaml

2. 환경 변수로 노출되는 보안 비밀의 경우 env 아래에서 필요에 따라 ENV_VAR, VERSION 또는 SECRET_NAME을 업데이트합니다. 환경 변수로 마운트되는 여러 보안 비밀이 있으면 이러한 속성이 여러 개 포함됩니다.

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION
       spec:
         containers:
         - image: IMAGE_URL
           env:
           - name: ENV_VAR
             valueFrom:
               secretKeyRef:
                 key: VERSION
                 name: SECRET_NAME

3. 파일 경로로 마운트된 보안 비밀의 경우 필요에 따라 MOUNT_PATH, VOLUME_NAME, VERSION, FILENAME 또는 SECRET_NAME을 업데이트합니다. 파일 경로로 마운트된 보안 비밀이 여러 개 있으면 이러한 속성이 여러 개 포함됩니다.

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION
       spec:
         containers:
         - image: IMAGE_URL
           volumeMounts:
           - mountPath: MOUNT_PATH
             name: VOLUME_NAME
         volumes:
         - name: VOLUME_NAME
           secret:
             items:
             - key: VERSION
               path: FILENAME
             secretName: SECRET_NAME

   VOLUME_NAME은 어떤 이름으로든 설정할 수 있습니다.

   다음과 같이 바꿉니다.

   • SERVICE: Cloud Run 서비스 이름
   • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
   • REVISION을 새 버전 이름으로 변경하거나 이미 있는 경우 삭제합니다. 새 버전 이름을 제공할 경우 다음 기준을 반드시 충족해야 합니다.
     • SERVICE-로 시작해야 합니다.
     • 소문자, 숫자, -만 포함합니다.
     • -로 끝나면 안 됩니다.
     • 63자(영문 기준) 이하여야 합니다.

4. 다음 명령어를 사용하여 서비스를 새 구성으로 바꿉니다.

   gcloud run services replace service.yaml

Terraform

1. 보안 비밀 및 보안 비밀 버전을 만듭니다.

   resource "google_secret_manager_secret" "default" {
     secret_id = "my-secret"
     replication {
       auto {}
     }
   }
   
   resource "google_secret_manager_secret_version" "default" {
     secret      = google_secret_manager_secret.default.name
     secret_data = "this is secret data"
   }

2. 서비스 계정을 만들고 보안 비밀에 대한 액세스 권한을 부여합니다.

   resource "google_service_account" "default" {
     account_id   = "cloud-run-service-account"
     display_name = "Service account for Cloud Run"
   }
   
   resource "google_secret_manager_secret_iam_member" "default" {
     secret_id = google_secret_manager_secret.default.id
     role      = "roles/secretmanager.secretAccessor"
     # Grant the new deployed service account access to this secret.
     member     = "serviceAccount:${google_service_account.default.email}"
     depends_on = [google_secret_manager_secret.default]
   }

3. Cloud Run에서 마운트된 파일 경로 또는 환경 변수로 Secret Manager 보안 비밀에 액세스할 수 있습니다.

   1. 파일 경로로 마운트된 보안 비밀의 경우 volumes 매개변수에서 Secret Manager 리소스를 참조하세요. name은 volume_mounts 매개변수의 항목에 해당합니다.

      resource "google_cloud_run_v2_service" "mounted_secret" {
        name     = "service-with-mounted-secret"
        location = "us-central1"
        ingress  = "INGRESS_TRAFFIC_ALL"
      
        deletion_protection = false # set to "true" in production
      
        template {
          volumes {
            name = "my-service-volume"
            secret {
              secret = google_secret_manager_secret.default.secret_id
              items {
                version = "latest"
                path    = "my-secret"
                mode    = 0 # use default 0444
              }
            }
          }
          containers {
            image = "us-docker.pkg.dev/cloudrun/container/hello"
            volume_mounts {
              name       = "my-service-volume"
              mount_path = "/secrets"
            }
          }
          service_account = google_service_account.default.email
        }
        depends_on = [google_secret_manager_secret_version.default]
      }

   2. 환경 변수로 노출된 보안 비밀의 경우 env 매개변수에서 Secret Manager 리소스를 참조하세요.

      resource "google_cloud_run_v2_service" "env_variable_secret" {
        name     = "service-with-env-var-secret"
        location = "us-central1"
        ingress  = "INGRESS_TRAFFIC_ALL"
      
        deletion_protection = false # set to "true" in production
      
        template {
          containers {
            image = "us-docker.pkg.dev/cloudrun/container/hello"
            env {
              name = "MY_SECRET"
              value_source {
                secret_key_ref {
                  secret  = google_secret_manager_secret.default.secret_id
                  version = "latest"
                }
              }
            }
          }
          service_account = google_service_account.default.email
        }
        depends_on = [google_secret_manager_secret_version.default]
      }

콘솔

1. Google Cloud 콘솔에서 Cloud Run으로 이동합니다.

   Cloud Run으로 이동

2. 컨테이너 배포를 클릭하고 서비스를 선택하여 새 서비스를 구성합니다. 초기 서비스 설정 페이지를 작성한 후 컨테이너, 볼륨, 네트워킹, 보안을 클릭하여 서비스 구성 페이지를 펼칩니다.

3. 기존 서비스를 구성하는 경우 서비스를 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

4. 단계에 따라 보안 비밀을 볼륨으로 마운트하거나 보안 비밀을 환경 변수로 노출합니다.

   • 보안 비밀을 볼륨으로 마운트하려면 다음 단계를 따르세요.

     1. 볼륨 탭을 클릭하고 볼륨 추가를 선택합니다.
     2. 볼륨 유형 목록에서 보안 비밀을 선택합니다.
     3. 볼륨 이름 필드에 이름을 입력하거나 기본 이름을 사용합니다.
     4. 보안 비밀 목록에서 직접 보안 비밀 입력을 클릭합니다.

     5. 보안 비밀의 리소스 ID를 다음 형식으로 입력합니다.

        projects/PROJECT_NUMBER/secrets/SECRET_NAME
        

        다음을 바꿉니다.

        • PROJECT_NUMBER를 Google Cloud 프로젝트 번호로 바꿉니다. 프로젝트 번호를 찾는 자세한 방법은 프로젝트 만들기 및 관리를 참조하세요.

        • SECRET_NAME: Secret Manager의 보안 비밀 이름

     6. 경로 1 필드에 마운트할 파일의 이름을 입력합니다.

     7. 버전 1 목록에서 참조할 보안 비밀 버전을 선택합니다. 기본적으로 최신 버전이 선택됩니다. 원하는 경우 특정 버전을 선택할 수 있습니다.

     8. 완료를 클릭합니다.

     9. 컨테이너 탭으로 이동하여 컨테이너에 보안 비밀을 마운트합니다.

     10. 볼륨 마운트 탭에서 볼륨 마운트를 클릭합니다.

     11. 이름 1 목록에서 볼륨 이름을 선택합니다.

     12. 마운트 경로 1 필드에 이 보안 비밀의 마운트 경로를 입력합니다. 이는 모든 버전의 보안 비밀이 저장되는 디렉터리입니다.

     13. 완료를 클릭합니다.

     14. 만들기 또는 배포를 클릭합니다.

   • 보안 비밀을 환경 변수로 노출하려면 다음 절차를 따르세요.

     1. 컨테이너 탭을 클릭합니다.
     2. 변수 및 보안 비밀 탭에서 보안 비밀 참조를 클릭합니다.
     3. 이름 1 필드에 환경 변수의 이름을 입력합니다.
     4. 보안 비밀 목록에서 직접 보안 비밀 입력을 클릭합니다.

     5. 보안 비밀의 리소스 ID를 다음 형식으로 입력합니다.

        projects/PROJECT_NUMBER/secrets/SECRET_NAME
        

        다음을 바꿉니다.

        • PROJECT_NUMBER를 Google Cloud 프로젝트 번호로 바꿉니다. 프로젝트 번호를 찾는 자세한 방법은 프로젝트 만들기 및 관리를 참조하세요.

        • SECRET_NAME: Secret Manager의 보안 비밀 이름

     6. 버전 1 목록에서 참조할 보안 비밀 버전을 선택합니다.

     7. 완료를 클릭합니다.

     8. 만들기 또는 배포를 클릭합니다.

gcloud

• 서비스를 배포할 때 보안 비밀을 볼륨으로 마운트하려면 다음을 실행합니다.

  gcloud run deploy SERVICE --image IMAGE_URL  \
  --update-secrets=PATH=projects/PROJECT_NUMBER/secrets/SECRET_NAME:VERSION

  다음과 같이 바꿉니다.

  • SERVICE를 서비스 이름으로 바꿉니다.
  • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
  • PATH: 볼륨의 마운트 경로 및 보안 비밀의 파일 이름 /etc/secrets/dbconfig/password와 같이 선행 슬래시로 시작해야 합니다. 여기서 /etc/secrets/dbconfig/는 볼륨의 마운트 경로이고, password는 보안 비밀의 파일 이름입니다.
  • PROJECT_NUMBER: 보안 비밀이 생성된 프로젝트의 프로젝트 번호
  • SECRET_NAME: 보안 비밀 이름(예: mysecret)
  • VERSION: 보안 비밀 버전. 최신 버전에 latest 또는 정수(예: 2)를 사용하세요.

YAML

1. 새 서비스를 만드는 경우에는 이 단계를 건너뜁니다. 기존 서비스를 업데이트하는 경우 YAML 구성을 다운로드합니다.

   gcloud run services describe SERVICE --format export > service.yaml

API 호환성 관련 제약조건으로 인해 보안 비밀 위치는 주석에 저장되어야 합니다.

1. 환경 변수로 노출된 보안 비밀의 경우:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
       spec:
         containers:
         - image: IMAGE_URL
           env:
           - name: ENV_VAR
             valueFrom:
               secretKeyRef:
                 key: VERSION
                 name: SECRET_LOOKUP_NAME

   다음과 같이 바꿉니다.

   • SERVICE를 서비스 이름으로 바꿉니다.
   • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
   • ENV_VAR
   • PROJECT_NUMBER: 보안 비밀이 생성된 프로젝트의 프로젝트 번호
   • SECRET_NAME: 보안 비밀 이름(예: mysecret)
   • VERSION: 보안 비밀 버전. 최신 버전에 latest 또는 정수(예: 2)를 사용하세요.
   • SECRET_LOOKUP_NAME: 적합한 보안 비밀 이름 구문을 갖는 이름(예: my-secret). SECRET_NAME과 동일해도 됩니다.

2. 파일 경로로 마운트된 보안 비밀의 경우:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/secrets: SECRET_LOOKUP_NAME:projects/PROJECT_NUMBER/secrets/SECRET_NAME
       spec:
         containers:
         - image: IMAGE_URL
           volumeMounts:
           - mountPath: MOUNT_PATH
             name: VOLUME_NAME
         volumes:
         - name: VOLUME_NAME
           secret:
             items:
             - key: VERSION
               path: FILENAME
             secretName: SECRET_LOOKUP_NAME

   다음과 같이 바꿉니다.

   • SERVICE를 서비스 이름으로 바꿉니다.
   • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
   • PATH: 볼륨의 마운트 경로 및 보안 비밀의 파일 이름 /etc/secrets/dbconfig/password와 같이 선행 슬래시로 시작해야 합니다. 여기서 /etc/secrets/dbconfig/는 볼륨의 마운트 경로이고, password는 보안 비밀의 파일 이름입니다.
   • PROJECT_NUMBER: 보안 비밀이 생성된 프로젝트의 프로젝트 번호
   • SECRET_NAME: 보안 비밀 이름(예: mysecret)
   • VERSION: 보안 비밀 버전. 최신 버전에 latest 또는 정수(예: 2)를 사용하세요.
   • SECRET_LOOKUP_NAME: 적합한 보안 비밀 이름 구문을 갖는 이름(예: my-secret). SECRET_NAME과 동일해도 됩니다.
   • VOLUME_NAME: 아무 이름(예: my-volume). SECRET_NAME과 동일해도 됩니다.

콘솔

1. Google Cloud 콘솔에서 Cloud Run으로 이동합니다.

   Cloud Run으로 이동

2. 관심이 있는 서비스를 클릭하여 서비스 세부정보 페이지를 엽니다.

3. 버전 탭을 클릭합니다.

4. 오른쪽의 세부정보 패널에서 보안 비밀 설정이 컨테이너 탭에 표시됩니다.

gcloud

1. 다음 명령어를 사용하세요.

   gcloud run services describe SERVICE

2. 반환된 구성에서 보안 비밀 설정을 찾습니다.

콘솔

1. Google Cloud 콘솔에서 Cloud Run으로 이동합니다.

   Cloud Run으로 이동

2. 목록에서 서비스를 선택하고 새 버전 수정 및 배포를 클릭합니다.

3. 컨테이너 탭을 클릭합니다.

4. 볼륨으로 마운트된 보안 비밀을 삭제하려면 볼륨 마운트 탭을 선택하고 삭제하려는 보안 비밀 위로 마우스 포인터를 가져간 다음 delete 삭제를 클릭합니다.

5. 환경 변수로 노출된 보안 비밀을 삭제하려면 변수 및 보안 비밀 탭을 선택하고 삭제하려는 보안 비밀 위로 마우스 포인터를 가져간 다음 delete 삭제를 클릭합니다.

6. 배포를 클릭합니다.

gcloud

서비스에서 모든 보안 비밀을 삭제하거나 삭제할 보안 비밀을 하나 이상 지정할 수 있습니다.

• 모든 보안 비밀을 삭제하려면 다음 명령어를 실행합니다.

  gcloud run deploy SERVICE --image IMAGE_URL \
  --clear-secrets
  

  다음과 같이 바꿉니다.

  • SERVICE를 서비스 이름으로 바꿉니다.
  • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.

• 삭제할 보안 비밀 목록을 지정하려면 --remove-secrets 플래그를 사용합니다. 다음 명령어는 볼륨으로 마운트된 보안 비밀 하나와 환경 변수로 노출된 다른 보안 비밀을 삭제합니다.

  gcloud run deploy SERVICE --image IMAGE_URL \
  --remove-secrets=ENV_VAR_NAME,SECRET_FILE_PATH
  

  다음과 같이 바꿉니다.

  • SERVICE를 서비스 이름으로 바꿉니다.
  • IMAGE_URL: 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest). Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
  • ENV_VAR_NAME: 환경 변수의 이름

  • SECRET_FILE_PATH: 보안 비밀의 전체 경로. 예를 들어 /mnt/secrets/primary/latest입니다. 여기서 /mnt/secrets/primary/는 마운트 경로이고 latest는 보안 비밀 경로입니다. 마운트 경로와 보안 비밀 경로를 개별적으로 지정할 수도 있습니다.

        --set-secrets MOUNT_PATH:SECRET_PATH=SECRET:VERSION