Уровень бесплатного пользования Cloud Run / Secret Manager

Я использую Cloud Run для серверной части проекта, над которым работаю, отчасти из-за его щедрого бесплатного уровня (2 миллиона запросов в месяц, бесплатно). Но службам требуются некоторые секретные значения (пароль базы данных, секретный ключ Oauth и т. д.), поэтому я последовал рекомендации Google сохранить эти значения в Google Secret Manager и загрузить их как переменные среды через Cloud Run.

Однако бесплатный уровень Secret Manager гораздо более ограничен: всего 10 000 операций бесплатного доступа в месяц. Если облачный запуск запускает контейнер почти для каждого запроса, кажется, что он также должен обращаться к секретам примерно с такой же скоростью, что резко снижает квоту бесплатного уровня.

Итак, мой вопрос: как мне настроить переменные среды для моего экземпляра Cloud Run, не разрушая уровень бесплатного пользования, который изначально делал платформу такой привлекательной? Просто поместить пароль базы данных и т. д. в переменные среды кажется плохой идеей, но мне неясно, насколько большой риск для безопасности это на самом деле представляет, учитывая, что проект является студенческим веб-сайтом, который не содержит никакой конфиденциальной личной информации в базе данных, а также с учетом того, что пользователь с административным доступом к консоли Google Cloud в любом случае может получить доступ к секретным значениям из менеджера секретов.

Плата за секретный менеджер. Эти аппаратные модули безопасности и аттестации соответствия для их реализации не бесплатны.

Или придумать другое решение. Другое программное обеспечение для управления секретами, менее сложное хранение секретов в обычных текстовых файлах, другая модель развертывания приложений. Что может быть несовместимо с исключительно использованием управляемого продукта Cloud Run.

мне неясно, насколько большой риск для безопасности это на самом деле представляет, учитывая что проект является студенческим веб-сайтом, который не содержит конфиденциальная личная информация в базе данных

Возможно, это небольшой риск для вашей организации в целом, но небрежное отношение к секретам — плохая привычка.

Каждое приложение, даже небольшое в простой среде соответствия, заслуживает определенного уровня защиты секретов. По крайней мере файлы конфигурации с ограниченным доступом. Определенно не встроен в код приложения.

пользователь с административным доступом к консоли Google Cloud может в любом случае получить доступ к секретным значениям из менеджера секретов.

Скрытие данных от авторизованных администраторов не является целью секретных систем. Любой доступ или удаление секретов регистрируется. Что теоретически позволяет поймать раскрытие их злоумышленнику или использование старых версий за пределами времени, когда они должны были быть заменены.

Чтобы снизить расходы, вам нужно выяснить, как лучше всего поддерживать работу ваших контейнеров или разрешить их закрытие.

Короче говоря, контейнеры Cloud Run могут простаивать до 15 минут, прежде чем отключаться. Увеличение времени работы позволяет избежать дополнительных запросов к Secret Manager.

Вы можете настроить систему мониторинга таким образом, чтобы она отправляла запросы в ваше приложение каждые 10 минут в наиболее посещаемые часы, чтобы поддерживать работоспособность ваших контейнеров, и не отправляла запросы в менее посещаемые часы, чтобы оставить его на ночь.

Таким образом, вы можете свести к минимуму количество запусков контейнеров и холодных запусков в рабочее время, а также разрешить их отключение ночью для экономии средств.