我正在使用terraform在谷歌云上创建我的基础设施。我使用tfvars文件保存变量,如数据库密码。我将我的应用部署到云上运行,并用sql创建一个数据库。问题是我需要将此数据库添加到cloud run的cloud SQL连接中。因为否则此应用程序无法连接到数据库。我怎样才能用terraform做到这一点
我的tf文件:
variable "database_password" {
type = string
}
variable "database_user" {
type = string
}
variable "project_name" {
type=string
}
variable "jwt_key" {
type = string
}
provider "google"{
credentials=file("credentials.json")
project=var.project_name
region="us-west1"
}
resource "google_sql_database_instance" "instance" {
name="socialmediadatabase"
region="us-central1"
database_version="POSTGRES_13"
deletion_protection = false
settings{
tier="db-f1-micro"
}
}
resource "google_sql_database" "database"{
name="socialmedia"
instance=google_sql_database_instance.instance.name
}
resource "google_sql_user" "database-user" {
name = var.database_user
instance = google_sql_database_instance.instance.name
password = var.database_password
}
resource "google_cloud_run_service" "run" {
name="socialmedia"
location = "us-central1"
template {
spec {
containers {
image = "gcr.io/${var.project_name}/socialmedia:latest"
ports {
container_port = 5000
}
env {
name="ENV"
value = "production"
}
env {
name="JWT_KEY"
value = var.jwt_key
}
env {
name="DB_URL"
value = "postgresql://${var.database_user}:${var.database_password}@/socialmedia?host=/cloudsql/${google_sql_database_instance.instance.connection_name}"
}
}
}
}
metadata {
annotations = {
"run.googleapis.com/cloudsql-instances"=google_sql_database_instance.instance.connection_name
}
}
}
#?
resource "google_cloud_run_service_iam_member" "member" {
service = google_cloud_run_service.run.name
location = google_cloud_run_service.run.location
role = "roles/run.invoker"
member = "allUsers"
}
查看代码-我猜您希望使用terraform在云运行的环境变量中提供机密信息
我想说,这种方法可能至少有两个问题:
1/这些秘密值将存储在terrafrom状态文件中。以解密的格式。我不确定这是个好主意
2/可以访问环境变量的任何人(或任何人)都可以访问这些秘密值。在我看来,这有点冒险
我建议将秘密值存储在Secret Manager…-see documentation here并仅提供作为环境变量的秘密名称
因此,云运行代码应该获取环境变量,并从secretmanager获取相应的秘密值
为了实现这一点,秘密(作为占位符)可以由terraform创建,因此可以在云运行中顺利提供名称
云运行服务帐户应获得相关IAM角色以访问机密。这也可以通过使用地形来实现
最后,不要忘记(使用UI控制台或gcloud CLI命令)使用实际值(或GCP术语中的版本)填充机密,并修改云运行代码,以便它可以消除异常—缺少机密值或不正确的值
我解决了。我应该在模板下添加元数据。 这是正确的:
相关问题 更多 >
编程相关推荐