Google Secret Manager に辞書型データを格納し、Cloud Functions からアクセスする方法

こちらの記事で Google Secret Manager にパスワードや API キーといった「他者に知られたくない」あるいは「公開したくない」情報を格納する方法を紹介しました。今回はより実践的な管理方法として辞書型のデータを Secret に登録して Python で作成した Cloud Functions 関数で意図通り辞書型として扱う方法について紹介していきます。

前提

[ads]

本記事を読みすすめるにあたっては、以下を実施済みであることが前提となっています。

Python 開発環境の設定
サービスアカウント作成済み
Secret Manager API の有効化
Secret Manager へのアクセスロール付与済み

これらが未実施の場合は以下の関連記事を参照してください。

Secret の作成

[ads]

それでは早速辞書型のデータを Secret Manager に登録していきます。
本記事では以下のような構造をもつ Dict 型のデータを登録してみます。

{
   "headers": {
       "key": "key value",
       "host": "host name"
   }
}

以下のリンクをクリックして GCP コンソールから Secret Manager を表示し、「シークレットを作成」をクリックします。

Google Cloud Platform

GoogleCloudPlatformletsyoubuild,deploy,andscaleapplications,websites,andservicesonthesameinfrastructureasGoogle.

シークレットの詳細として以下を設定します。

名前: 任意の名称（ここでは、 my-dict-secret ）
シークレットの値: 上述した辞書型のデータ

他の項目はデフォルトのままで「シークレットを作成」をクリックし、 Secret の作成を完了させます。

Secret 作成後 Secret の値を確認してみます。

特にフォーマットが変換されることもなく、そのままのテキストデータとして格納されています。

Secret Manager に登録した辞書型 Secret へ Cloud Functions からアクセス

[ads]

それでは、作成した辞書型の Secret データに Cloud Functions からアクセスしていきます。こちらの記事で作成した関数をベースにします。

Secret に登録した値は純粋なテキストデータとして扱われるため、取得した値を json を用いて文字列から辞書型に変換することで意図通りの dict 型として扱うことが可能になります。

def hello_http(request):
  import json
 
  response = access_secret_version('sample-for-blog', 'my-dict-secret', 'latest')
  payload = response.payload.data.decode("UTF-8")
  # convert str to dict
  d = json.loads(payload)
  print("payload type is ", type(payload), "converted type is ", type(d))
 
  return d

Cloud Functions でのテスト

それでは Cloud Functions のテスト機能を利用して動作を確認していきます。

作成した hello_http は特に引数を必要としないため「トリガーとなるイベント」は初期値のままとし、「関数をテストする」をクリックして出力とログを確認してみます。

出力については変換後の辞書型を出力するようにしていますが、見た目では分かりませんね。

ログは以下の通りです。そのままの payload だと str 型となっていることがわかります。

まとめ

[ads]

Google Secret Manager に登録したデータは純粋なテキストデータとして扱われる
辞書型データを登録する場合は、値を取得した際に文字列から辞書型に変換する

今回使用したサンプルソース

def access_secret_version(project_id, secret_id, version_id):
   """
   Access the payload for the given secret version if one exists. The version
   can be a version number as a string (e.g. "5") or an alias (e.g. "latest").
   """
 
   # Import the Secret Manager client library.
   from google.cloud import secretmanager
 
   # Create the Secret Manager client.
   client = secretmanager.SecretManagerServiceClient()
 
   # Build the resource name of the secret version.
   name = f"projects/{project_id}/secrets/{secret_id}/versions/{version_id}"
   print(name)
 
   # Access the secret version.
   response = client.access_secret_version(request={"name": name})
 
   # Print the secret payload.
   #
   # WARNING: Do not print the secret in a production environment - this
   # snippet is showing how to access the secret material.
   payload = response.payload.data.decode("UTF-8")
   print("Plaintext: {}".format(payload))
 
   return response

def hello_http(request):
   import json

   response = access_secret_version('sample-for-blog', 'my-dict-secret', 'latest')
   payload = response.payload.data.decode("UTF-8")
   # convert str to dict
   d = json.loads(payload)
   print("payload type is ", type(payload), "converted type is ", type(d))

   return d

[ads]