Передать секреты Yandex Lockbox в контейнер

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id. Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Чтобы передать секреты Yandex Lockbox в контейнер, выполните команду:

yc serverless container revision deploy \
   --container-name test \
   --image cr.yandex/<идентификатор_реестра>/repository:tag \
   --cores 1 \
   --memory 1GB \
   --service-account-id <идентификатор_сервисного_аккаунта> \
   --secret environment-variable=<имя_переменной_окружения>,id=<идентификатор_секрета>,version-id=<идентификатор_версии_секрета>,key=<ключ_секрета>

Где:

• --container-name — имя контейнера.

• --image — URL Docker-образа.

• --cores — количество ядер, которые доступны контейнеру.

• --memory — требуемая память. По умолчанию — 128 МБ.

• --service-account-id — идентификатор сервисного аккаунта, у которого есть роль lockbox.payloadViewer.

• --secret:

  • environment-variable — имя переменной окружения, в которой будет храниться секрет;
  • id — идентификатор секрета;
  • version-id — идентификатор версии секрета;
  • key — ключ одной из пар ключ-значение в версии секрета.

  В контейнер можно передать несколько секретов. Для этого укажите параметр --secret необходимое количество раз.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы управлять инфраструктурой с помощью Terraform от имени сервисного аккаунта или пользовательских аккаунтов: аккаунта на Яндексе, федеративного аккаунта и локального пользователя, аутентифицируйтесь соответствующим способом.

1. Откройте файл конфигурации Terraform и добавьте к описанию функции блок secrets:

   resource "yandex_serverless_container" "test-container" {
     name               = "<имя_контейнера>"
     memory             = <объем_памяти>
     service_account_id = "<идентификатор_сервисного_аккаунта>"
     secrets {
       id                   = "<идентификатор_секрета>"
       version_id           = "идентификатор_версии_секрета>"
       key                  = "<ключ_секрета_1>"
       environment_variable = "<имя_переменной_окружения_1>"
     }
     secrets {
       id                   = "<идентификатор_секрета>"
       version_id           = "<идентификатор_версии_секрета>"
       key                  = "<ключ_секрета_2>"
       environment_variable = "<имя_переменной_окружения_2>"
     }
     image {
       url = "<URL_Docker-образа>"
     }
   }
   

   Где:

   • secrets — блок с настройками секрета. Содержит параметры:

     • id — идентификатор секрета. Обязательный параметр.
     • version_id — идентификатор версии секрета. Обязательный параметр.
     • key — ключ одной из пар ключ-значение в версии секрета, который будет храниться в переменной окружения. Обязательный параметр.
     • environment_variable — имя переменной окружения, в которой будет храниться секрет. Обязательный параметр.

   Подробнее о параметрах ресурса yandex_serverless_container в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в директорию с конфигурационным файлом.

   2. Проверьте корректность конфигурации с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

Проверить изменение функции и ее настройки можно в консоли управления.

Чтобы передать секрет Yandex Lockbox в контейнер, воспользуйтесь методом REST API deployRevision для ресурса Container или вызовом gRPC API ContainerService/DeployRevision.