16、Google Cloud 与 Kubernetes 中的秘密管理：从基础到高级应用

Google Cloud 与 Kubernetes 中的秘密管理：从基础到高级应用

1. Google Cloud Secret Manager 特性概述

Google Cloud 管理的 Secret Manager 服务默认提供了一些实用的特性，具体如下：
| 特性 | 描述 |
| — | — |
| IAM | 具备身份访问管理功能，可在组织级别、项目级别和资源级别分配权限，身份可以是用户、Google 组或服务账户 |
| 高可用性 | 支持灾难恢复场景，默认情况下，机密可从 Google Cloud 的不同区域全局访问，机密会在多个区域复制 |
| 日志记录和审计 | 有默认的日志记录解决方案，用于应用程序日志和审计日志，访问 GCP 项目的审计日志需要 Private Logs Viewer 权限 |
| 与其他 Google Cloud 组件集成 | 可与 KMS 集成加密机密，还能通过 CSI 插件与 Kubernetes 集成 |

1.1 IAM 权限管理

Google Cloud 的身份访问管理（IAM）权限分为三个级别：
- 组织级别 ：某些 IAM 权限在组织级别生效，可管理组织的资源。
- 项目级别 ：适用于整个 GCP 项目的 IAM 权限，用于针对特定资源进行权限分配。
- 资源级别 ：最细粒度的权限，创建资源时可为该特定资源设置权限。

1.2 高可用性

Secret Manager 是高可用的解决方