Передать секрет в Yandex Cloud Functions

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы передать секрет Yandex Lockbox в функцию, выполните команду:

yc serverless function version create \
  --function-name=test \
  --runtime nodejs16 \
  --entrypoint index.main \
  --memory 128m \
  --execution-timeout 5s \
  --source-version-id vfdsdeqa1s2d3******** \
  --service-account-id bfbtfcp0o9i8******** \
  --secret environment-variable=KEY,id=fc3q4aq3w5e6********,version-id=fc3gvvz4x5c6********,key=secret-key

Где:

• --function-name — имя функции.

• --runtime — среда выполнения.

• --entrypoint — точка входа, указывается в формате <имя_файла_с_функцией>.<имя_обработчика>.

• --memory — объем RAM.

• --execution-timeout — максимальное время выполнения функции до таймаута.

• --source-version-id — идентификатор версии функции, код которой вы хотите скопировать.

• --service-account-id — идентификатор сервисного аккаунта, у которого есть роль lockbox.payloadViewer.

• --secret:

  • environment-variable — имя переменной окружения, в которой будет храниться секрет.
  • id — идентификатор секрета.
  • version-id — идентификатор версии секрета.
  • key — ключ одной из пар ключ-значение в версии секрета.

  В функцию можно передать несколько секретов. Для этого укажите параметр --secret необходимое количество раз.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Откройте файл конфигурации Terraform и добавьте к описанию функции блок secrets:

   resource "yandex_function" "test-function" {
     name               = "test-function"
     description        = "Test function"
     user_hash          = "first-function"
     runtime            = "python37"
     entrypoint         = "main"
     memory             = "128"
     execution_timeout  = "10"
     service_account_id = "<идентификатор_сервисного_аккаунта>"
     tags               = ["my_tag"]
     secrets {
       id                   = "<идентификатор_секрета>"
       version_id           = "<идентификатор_версии_секрета>"
       key                  = "<ключ_секрета_1>"
       environment_variable = "<имя_переменной_окружения_1>"
     }
     secrets {
       id                   = "<идентификатор_секрета>"
       version_id           = "<идентификатор_версии_секрета>"
       key                  = "<ключ_секрета_2>"
       environment_variable = "<имя_переменной_окружения_2>"
     }
   
      content {
        zip_filename = "<путь_к_ZIP-архиву>"
      }
   }
   

   Где:

   • secrets — блок с настройками секрета. Содержит параметры:
     • id — идентификатор секрета. Обязательный параметр.
     • version_id — идентификатор версии секрета. Обязательный параметр.
     • key — ключ одной из пар ключ-значение в версии секрета, который будет храниться в переменной окружения. Обязательный параметр.
     • environment_variable — имя переменной окружения, в которой будет храниться секрет. Обязательный параметр.

   Более подробную информацию о параметрах ресурса yandex_function см. в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

Проверить изменение функции и ее настройки можно в консоли управления.

Чтобы передать секрет Yandex Lockbox в функцию, воспользуйтесь методом REST API createVersion для ресурса Function или вызовом gRPC API FunctionsService/CreateVersion.