Cette page explique comment configurer la destruction différée des versions de secrets, mettre à jour ou supprimer la durée du délai de destruction, et restaurer les versions de secrets dont la destruction est planifiée.
Par défaut, lorsqu'un utilisateur choisit de détruire une version de secret dans Secret Manager, le contenu secret est détruit immédiatement et définitivement. Toutefois, les utilisateurs disposant du rôle "Administrateur Secret Manager" peuvent configurer la destruction différée des versions de secret. Cela garantit que la version de secret n'est pas détruite immédiatement sur demande et qu'elle reste récupérable pendant une durée configurable.
Lorsque la destruction différée est activée pour le secret et que vous détruisez une version du secret, voici ce qui se produit :
-
La version est désactivée, ce qui empêche son utilisation.
-
Le système programme la destruction définitive de la version à la fin du délai.
-
Une fois le délai expiré, la version du secret est détruite de manière définitive et irréversible.
Avantages
Cette fonctionnalité présente les avantages suivants :
-
Une protection supplémentaire contre la destruction accidentelle ou malveillante de contenus secrets critiques. Tout utilisateur disposant du rôle Gestionnaire de versions de secrets Secret Manager peut détruire une version de secret. Cette action est irréversible. En configurant la destruction différée, vous pouvez empêcher la destruction immédiate des versions de secrets. Vous pouvez accorder aux utilisateurs l'accès minimal requis pour gérer le cycle de vie des versions secrètes. Vous pouvez ainsi surveiller et empêcher toute destruction accidentelle de données sensibles.
-
La suppression d'une version secrète déclenche une
SECRET_VERSION_DESTROY_SCHEDULEDnotification vers les sujets Pub/Sub configurés sur le secret. Les utilisateurs disposant du rôle Administrateur Secret Manager peuvent annuler la destruction programmée et restaurer la version du secret en l'activant ou en la désactivant.
Avant de commencer
-
Enable the Secret Manager API.
-
Configurez l'authentification.
Select the tab for how you plan to use the samples on this page:
Console
When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
-
Dans la console Google Cloud , accédez à la page Secret Manager.
-
Sur la page Secret Manager, cliquez sur Créer un secret.
-
Sur la page Créer un secret, saisissez un nom pour le secret dans le champ Nom.
-
Saisissez une valeur pour le secret (par exemple,
abcd1234). Vous pouvez également importer un fichier texte contenant la valeur du secret à l'aide de l'option Importer un fichier. Cette action crée automatiquement la version du secret. -
Accédez à la section Différer la destruction de la version du secret, puis cochez la case Définir la durée du délai de destruction.
-
Dans le champ Durée du délai de destruction, saisissez la durée en jours. La valeur minimale que vous pouvez saisir est de 1 jour et la valeur maximale de 1 000 jours.
-
Cliquez sur Créer un secret.
Pour activer cette fonctionnalité sur un secret existant, accédez à la page Modifier le secret, puis configurez la durée du délai de destruction.
- SECRET_ID : ID du secret ou identifiant complet du secret.
- TTL_DURATION : durée du délai de destruction des versions de secret. Vous pouvez saisir la durée dans n'importe quel format (jours, heures, secondes, etc.). La durée minimale requise est d'un jour, tandis que la durée maximale peut être définie sur 1 000 jours.
- PROJECT_ID : ID du projet Google Cloud .
- SECRET_ID : ID du secret ou identifiant complet du secret.
- TTL_DURATION : durée du délai de destruction des versions de secret. Saisissez la durée en secondes. Notez que la durée minimale requise est de 1 jour, tandis que la durée maximale peut être définie sur 1 000 jours.
-
Lorsqu'un secret est supprimé, tous les éléments secrets et les versions associées sont immédiatement supprimés.
-
Lorsqu'une date d'expiration est définie pour un secret et que celui-ci expire, toutes ses versions sont immédiatement détruites, même si la destruction différée est activée pour le secret.
-
Dans la console Google Cloud , accédez à la page Secret Manager.
-
Pour modifier un secret, utilisez l'une des méthodes suivantes :
-
Cliquez sur Actions pour le secret que vous souhaitez modifier, puis cliquez sur Modifier.
-
Cliquez sur le nom du secret pour accéder à la page d'informations le concernant. Sur la page des détails du secret, cliquez sur Modifier le secret.
-
-
Sur la page Modifier le secret, accédez à la section Retarder la destruction des versions de secret. Modifiez la durée du délai selon vos besoins, puis cliquez sur Mettre à jour le code secret.
- SECRET_ID : ID du secret ou identifiant complet du secret
- TTL_DURATION : durée du délai de destruction des versions du secret
- PROJECT_ID : ID du projet Google Cloud
- SECRET_ID : ID du secret ou identifiant complet du secret
- TTL_DURATION : durée du délai de destruction des versions du secret
-
Lorsque la destruction différée est définie pour la première fois sur le secret, la durée du délai de destruction affecte toutes les versions actives (activées et désactivées) du secret.
-
Lorsque la durée du délai de destruction est modifiée ou supprimée, les modifications ne sont répercutées que sur les nouvelles versions de secrets pour lesquelles l'action de destruction est tentée. Les versions de secret dont la destruction est déjà programmée continueront d'être détruites à l'heure prévue.
-
Dans la console Google Cloud , accédez à la page Secret Manager.
-
Pour modifier un secret, utilisez l'une des méthodes suivantes :
-
Cliquez sur Actions pour le secret que vous souhaitez modifier, puis cliquez sur Modifier.
-
Cliquez sur le nom du secret pour accéder à la page d'informations le concernant. Sur la page des détails du secret, cliquez sur Modifier le secret.
-
-
Sur la page Modifier le secret, accédez à la section Retarder la destruction des versions de secret. Décochez la case Définir la durée du délai de destruction, puis cliquez sur Mettre à jour le secret.
- SECRET_ID : ID du secret ou identifiant complet du secret
- PROJECT_ID : ID du projet Google Cloud
- SECRET_ID : ID du secret ou identifiant complet du secret
-
Dans la console Google Cloud , accédez à la page Secret Manager.
-
Sur la page Secret Manager, cliquez sur un secret pour accéder à ses versions. La destruction différée des versions doit être configurée pour ce secret.
-
Sur la page "Informations détaillées sur le secret", dans l'onglet Versions, sélectionnez la version du secret que vous souhaitez détruire.
-
Cliquez sur Actions, puis sur Détruire.
-
Dans la boîte de dialogue de confirmation qui s'affiche, saisissez l'ID du secret pour confirmer, puis cliquez sur Programmer la destruction des versions sélectionnées.
- SECRET_VERSION_ID : ID de la version ou identifiant complet de la version.
- SECRET_ID : ID du secret ou identifiant complet du secret
- PROJECT_ID : ID du projet Google Cloud
- SECRET_ID : ID du secret ou identifiant complet du secret
- VERSION_ID : ID de la version ou identifiant complet de la version.
-
Dans la console Google Cloud , accédez à la page Secret Manager.
-
Sur la page Secret Manager, cliquez sur un secret pour accéder à ses versions.
-
Sur la page d'informations détaillées sur le secret, dans l'onglet Versions, sélectionnez la version du secret dont la destruction est planifiée.
-
Cliquez sur Actions, puis sur Activer.
-
Dans la boîte de dialogue de confirmation qui s'affiche, cliquez sur Activer les versions sélectionnées.
- SECRET_VERSION_ID : ID de la version ou identifiant complet de la version.
- SECRET_ID : ID du secret ou identifiant complet du secret
- PROJECT_ID : ID du projet Google Cloud
- SECRET_ID : ID du secret ou identifiant complet du secret
- VERSION_ID : ID de la version ou identifiant complet de la version.
-
Dans la console Google Cloud , accédez à la page Secret Manager.
-
Sur la page Secret Manager, cliquez sur un secret pour accéder à ses versions.
-
Sur la page d'informations détaillées sur le secret, dans l'onglet Versions, sélectionnez la version du secret dont la destruction est planifiée.
-
Cliquez sur Actions, puis sur Désactiver.
-
Dans la boîte de dialogue de confirmation qui s'affiche, cliquez sur Désactiver les versions sélectionnées.
- SECRET_VERSION_ID : ID de la version ou identifiant complet de la version.
- SECRET_ID : ID du secret ou identifiant complet du secret
- PROJECT_ID : ID du projet Google Cloud
- SECRET_ID : ID du secret ou identifiant complet du secret
- VERSION_ID : ID de la version ou identifiant complet de la version.
- Découvrez comment assurer l'intégrité des données.
- Découvrez les bonnes pratiques.
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
REST
Pour utiliser les exemples d'API REST de cette page dans un environnement de développement local, vous devez utiliser les identifiants que vous fournissez à gcloud CLI.
After installing the Google Cloud CLI, initialize it by running the following command:
gcloud initIf you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.
Pour en savoir plus, consultez la section S'authentifier pour utiliser REST dans la documentation sur l'authentification Google Cloud .
Rôles requis
Pour obtenir les autorisations nécessaires pour configurer la destruction différée des versions secrètes, demandez à votre administrateur de vous accorder le rôle IAM Administrateur Secret Manager (
roles/secretmanager.admin) sur un secret. Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations.Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.
Configurer la destruction différée
Vous pouvez activer la destruction différée d'une version secrète lorsque vous créez ou mettez à jour le secret. Pour configurer la destruction différée, utilisez l'une des méthodes suivantes :
Console
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
Exécutez la commande suivante :
Linux, macOS ou Cloud Shell
gcloud secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION
Windows (PowerShell)
gcloud secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION
Windows (cmd.exe)
gcloud secrets create SECRET_ID --version-destroy-ttl=TTL_DURATION
La réponse contient le secret nouvellement créé.
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
Méthode HTTP et URL :
POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID
Corps JSON de la requête :
{"replication": {"automatic": {}}, "version_destroy_ttl":"TTL_DURATION"}Pour envoyer votre requête, choisissez l'une des options suivantes :
curl
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID"PowerShell
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets?secretId=SECRET_ID" | Select-Object -Expand ContentVous devriez recevoir une réponse JSON de ce type :
{ "name":"projects/PROJECT_ID/secrets/SECRET_ID", "replication":{ "automatic":{ } }, "createTime":"2023-10-16T17:10:16.345401Z", "etag":"\"1607d90ee3d84c\"", "versionDestroyTtl":"TTL_DURATION" }La destruction différée ne s'applique pas dans les cas suivants :
Modifier la durée du délai de destruction
Pour modifier la durée du délai de destruction, utilisez l'une des méthodes suivantes :
Console
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
Exécutez la commande suivante :
Linux, macOS ou Cloud Shell
gcloud secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION
Windows (PowerShell)
gcloud secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION
Windows (cmd.exe)
gcloud secrets update SECRET_ID --version-destroy-ttl=TTL_DURATION
La réponse contient le secret nouvellement créé.
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
Méthode HTTP et URL :
PATCH https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl
Corps JSON de la requête :
{ "version_destroy_ttl":"TTL_DURATION" }Pour envoyer votre requête, choisissez l'une des options suivantes :
curl
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl"PowerShell
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method PATCH `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand ContentVous devriez recevoir une réponse JSON de ce type :
{ "name":"projects/PROJECT_ID/secrets/SECRET_ID", "replication":{ "automatic":{ } }, "createTime":"2023-10-16T17:10:16.345401Z", "etag":"\"1607d90ee3d84c\"", "versionDestroyTtl":"TTL_DURATION" }Les versions de secret concernées par la durée du délai de destruction dépendent des éléments suivants :
Désactiver la destruction différée
Pour désactiver la destruction différée des versions, utilisez l'une des méthodes suivantes :
Console
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
Exécutez la commande suivante :
Linux, macOS ou Cloud Shell
gcloud secrets update SECRET_ID --remove-version-destroy-ttl
Windows (PowerShell)
gcloud secrets update SECRET_ID --remove-version-destroy-ttl
Windows (cmd.exe)
gcloud secrets update SECRET_ID --remove-version-destroy-ttl
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
Méthode HTTP et URL :
PATCH https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl
Corps JSON de la requête :
{}Pour envoyer votre requête, choisissez l'une des options suivantes :
curl
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl"PowerShell
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method PATCH `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID?updateMask=version_destroy_ttl" | Select-Object -Expand ContentVous devriez recevoir une réponse JSON de ce type :
{ "name":"projects/PROJECT_ID/secrets/SECRET_ID", "replication":{ "automatic":{ } }, "createTime":"2023-10-16T17:10:16.345401Z", "etag":"\"1607d90ee3d84c\"" }Programmer la destruction différée des versions de secret
Pour planifier la destruction différée d'une version de secret, utilisez l'une des méthodes suivantes :
Console
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
Exécutez la commande suivante :
Linux, macOS ou Cloud Shell
gcloud secrets versions destroy SECRET_VERSION_ID --secret=SECRET_ID
Windows (PowerShell)
gcloud secrets versions destroy SECRET_VERSION_ID --secret=SECRET_ID
Windows (cmd.exe)
gcloud secrets versions destroy SECRET_VERSION_ID --secret=SECRET_ID
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
Méthode HTTP et URL :
POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:destroy
Corps JSON de la requête :
{}Pour envoyer votre requête, choisissez l'une des options suivantes :
curl
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:destroy"PowerShell
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:destroy" | Select-Object -Expand ContentVous devriez recevoir une réponse JSON de ce type :
{ "name":"projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID", "createTime":"2023-10-16T17:21:55.920036Z", "state":"DISABLED", "replicationStatus":{ "automatic":{ } }, "etag":"\"1607d8b2fc1cf4\"", "scheduledDestroyTime":"2023-10-16T17:26:57.459395960Z" }La version du secret est immédiatement désactivée et sa destruction est programmée à l'issue du délai de destruction. Vous pouvez consulter la date et l'heure exactes auxquelles la version sera détruite dans la colonne Destruction programmée le du tableau Versions.
Restaurer des versions de secrets
Vous pouvez restaurer une version de secret dont la destruction est programmée en l'activant ou en la désactivant.
Activer une version de secret dont la destruction est programmée
Pour activer une version secrète dont la destruction est planifiée, utilisez l'une des méthodes suivantes :
Console
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
Exécutez la commande suivante :
Linux, macOS ou Cloud Shell
gcloud secrets versions enable SECRET_VERSION_ID --secret=SECRET_ID
Windows (PowerShell)
gcloud secrets versions enable SECRET_VERSION_ID --secret=SECRET_ID
Windows (cmd.exe)
gcloud secrets versions enable SECRET_VERSION_ID --secret=SECRET_ID
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
Méthode HTTP et URL :
POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:enable
Corps JSON de la requête :
{}Pour envoyer votre requête, choisissez l'une des options suivantes :
curl
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:enable"PowerShell
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:enable" | Select-Object -Expand ContentVous devriez recevoir une réponse JSON de ce type :
{ "name":"projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID", "createTime":"2023-10-16T17:21:55.920036Z", "state":"ENABLED", "replicationStatus":{ "automatic":{ } }, "etag":"\"1607d8b3e8e1bc\"" }Désactiver une version de secret dont la destruction est programmée
Pour désactiver une version de secret dont la destruction est planifiée, utilisez l'une des méthodes suivantes :
Console
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
Exécutez la commande suivante :
Linux, macOS ou Cloud Shell
gcloud secrets versions disable SECRET_VERSION_ID --secret=SECRET_ID
Windows (PowerShell)
gcloud secrets versions disable SECRET_VERSION_ID --secret=SECRET_ID
Windows (cmd.exe)
gcloud secrets versions disable SECRET_VERSION_ID --secret=SECRET_ID
La réponse contient la version désactivée du secret.
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
Méthode HTTP et URL :
POST https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:disable
Corps JSON de la requête :
{}Pour envoyer votre requête, choisissez l'une des options suivantes :
curl
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:disable"PowerShell
Enregistrez le corps de la requête dans un fichier nommé
request.json, puis exécutez la commande suivante :$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://secretmanager.googleapis.com/v1/projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID:disable" | Select-Object -Expand ContentVous devriez recevoir une réponse JSON de ce type :
{ "name":"projects/PROJECT_ID/secrets/SECRET_ID/versions/VERSION_ID", "createTime":"2023-10-16T17:21:55.920036Z", "state":"DISABLED", "replicationStatus":{ "automatic":{ } }, "etag":"\"1607d8b3e8e1bc\"" }Étapes suivantes
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/07/14 (UTC).
-