Блог

Я создал контейнерное приложение на python, которое без проблем запускается локально, используя файл .env и файл docker-compose.yml, скомпилированный с помощью сборки compose.

Затем я могу использовать переменные в файле Dockerfile следующим образом.

 ARG APP_USR
ENV APP_USR ${APP_USR}

ARG APP_PASS
ENV APP_PASS ${APP__PASS}

RUN pip install https://${APP_USR}:${APP_PASS}@github.org/*****/master.zip
 

Я развертываю облачный запуск через синхронизированный репозиторий bitbucket и определил в разделе «ВЕРСИИ» > «СЕКРЕТЫ И ПЕРЕМЕННЫЕ»>(как описано здесь: https://cloud.google.com/run/docs/configuring/environment-variables)
но я не могу понять, как получить доступ к этим переменным в файле Dockerfile во время сборки.

Насколько я понимаю, мне нужно создать облачную сборку.файл yaml для определения переменных, но я не смог найти четкого примера того, как это настроить, используя переменные среды, определенные в cloud run.

Насколько я понимаю, невозможно напрямую использовать переменные среды версии для запуска в облаке в файле Dockerfile, поскольку сборкой управляет Облачная сборка, которая не знает о версии для запуска в облаке до развертывания.

Но я смог использовать секреты Секретного менеджера в файле Dockerfile.

Источники:

• Передача секретов от Секретного менеджера cloudbuild.yaml : https://cloud.google.com/build/docs/securing-builds/use-secrets
• Передача переменной среды из cloudbuild.yaml в Dockerfile : https://vsupalov.com/docker-build-pass-environment-variables/

Краткое резюме:

В вашем случае, для APP_USR и APP_PASS :

1. Предоставьте Секретному менеджеру Секретный доступ (роли/secretmanager.secretAccessor) Роль IAM для секретной учетной записи службы облачных сборок (см. Первый источник).
2. Добавьте availableSecrets блок в конце cloudbuild.yaml файла (вне steps блока):

 availableSecrets:
  secretManager:
  - versionName: <APP_USR_SECRET_RESOURCE_ID_WITH_VERSION>
    env: 'APP_USR'
  - versionName: <APP_PASS_SECRET_RESOURCE_ID_WITH_VERSION>
    env: 'APP_PASS'
 

3. Передайте секреты на этапе сборки (зависит от того , как вы вызываете docker build , в документации Google используется «bash», я использую Docker напрямую):

   - id: Build
    name: gcr.io/cloud-builders/docker
    args:
      - build
      - '-f=Dockerfile'
      - '.'

      # Add these two `--build-arg` params:

      - '--build-arg'
      - 'APP_USR=$APP_USR'

      - '--build-arg'
      - 'APP_PASS=$APP_PASS'

    secretEnv: ['APP_USR', 'APP_PASS'] # <=== add this line
 

4. Используйте эти секреты в качестве стандартных переменных среды в своем Dockerfile :

 ARG APP_USR
ENV APP_USR $APP_USR

ARG APP_PASS
ENV APP_PASS $APP_PASS

RUN pip install https://$APP_USR:$APP_PASS@github.org/*****/master.zip
 

У вас есть несколько способов добиться этого.

Вы действительно можете создать свой контейнер с вашим .env в нем. Но это не очень хорошая практика, потому что ваш файл .env может содержать секрет (ключ API, пароль базы данных,…) и потому что ваш контейнер тесно связан с окружающей средой

Другое решение состоит в том, чтобы развернуть контейнер в облачном режиме (не для создания докера, он не работает в облачном режиме) и добавить переменную среды с редакцией. для этого используйте, например, --set-env-vars=KEY1=Value1 формат.

Если у вас есть секреты, вы можете сохранить их в секретном менеджере и загрузить его как env var во время выполнения или как том

Последнее решение, если вы можете указать, где ваш контейнер получит файл .env в дереве файлов (я не специалист по Python, чтобы помочь вам в этом), вы можете использовать этот трюк, который я описал в этой статье. Он идеально подходит для файла конфигурации, он изначально хранится в секретном менеджере и, следовательно, автоматически защищает ваш секрет.