Передать секрет в Yandex Serverless Containers

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы передать секреты Yandex Lockbox в контейнер, выполните команду:

yc serverless container revision deploy \
   --container-name test \
   --image cr.yandex/<идентификатор_реестра>/repository:tag \
   --cores 1 \
   --memory 1GB \
   --service-account-id <идентификатор_сервисного_аккаунта> \
   --secret environment-variable=<имя_переменной_окружения>,id=<идентификатор_секрета>,version-id=<идентификатор_версии_секрета>,key=<ключ_секрета>

Где:

• --container-name — имя контейнера.

• --image — URL Docker-образа.

• --cores — количество ядер, которые доступны контейнеру.

• --memory — требуемая память. По умолчанию — 128 МБ.

• --service-account-id — идентификатор сервисного аккаунта, у которого есть роль lockbox.payloadViewer.

• --secret:

  • environment-variable — имя переменной окружения, в которой будет храниться секрет;
  • id — идентификатор секрета;
  • version-id — идентификатор версии секрета;
  • key — ключ одной из пар ключ-значение в версии секрета.

  В контейнер можно передать несколько секретов. Для этого укажите параметр --secret необходимое количество раз.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Откройте файл конфигурации Terraform и добавьте к описанию функции блок secrets:

   resource "yandex_serverless_container" "test-container" {
     name               = "<имя_контейнера>"
     memory             = <объем_памяти>
     service_account_id = "<идентификатор_сервисного_аккаунта>"
     secrets {
       id                   = "<идентификатор_секрета>"
       version_id           = "идентификатор_версии_секрета>"
       key                  = "<ключ_секрета_1>"
       environment_variable = "<имя_переменной_окружения_1>"
     }
     secrets {
       id                   = "<идентификатор_секрета>"
       version_id           = "<идентификатор_версии_секрета>"
       key                  = "<ключ_секрета_2>"
       environment_variable = "<имя_переменной_окружения_2>"
     }
     image {
       url = "<URL_Docker-образа>"
     }
   }
   

   Где:

   • secrets — блок с настройками секрета. Содержит параметры:
     • id — идентификатор секрета. Обязательный параметр.
     • version_id — идентификатор версии секрета. Обязательный параметр.
     • key — ключ одной из пар ключ-значение в версии секрета, который будет храниться в переменной окружения. Обязательный параметр.
     • environment_variable — имя переменной окружения, в которой будет храниться секрет. Обязательный параметр.

   Более подробную информацию о параметрах ресурса yandex_serverless_container см. в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

Проверить изменение функции и ее настройки можно в консоли управления.

Чтобы передать секрет Yandex Lockbox в контейнер, воспользуйтесь методом REST API deployRevision для ресурса Container или вызовом gRPC API ContainerService/DeployRevision.