google-cloud-build - PROJECT_ID env 和 Secret Manager 访问权限

Question

我想在云构建步骤中使用 Secret Manager 将凭据存储到我们的人工制品中。我使用类似于以下的构建让它工作:

steps:
- name: 'busybox:glibc'
  entrypoint: 'sh'
  args: ['-c', 'env']
  secretEnv: ['SECRET_VALUE']
availableSecrets:
  secretManager:
  - versionName: "projects/PROJECT_ID/secrets/TEST-SECRET/versions/1"
    env: 'SECRET_VALUE'

一切都很好，没问题 - 然后我尝试稍微改进一下:

steps:
- name: 'busybox:glibc'
  entrypoint: 'sh'
  args: ['-c', 'env']
  secretEnv: ['SECRET_VALUE']
availableSecrets:
  secretManager:
  - versionName: "projects/$PROJECT_ID/secrets/TEST-SECRET/versions/1"
    env: 'SECRET_VALUE'

但是它会抛出错误:错误:(gcloud.builds.submit) INVALID_ARGUMENT:无法从 secret 版本“projects/$PROJECT_ID/secrets/TEST-SECRET/versions/1”获取 secret 名称

我已经能够添加一个 TRIGGER 级别的环境变量 (SECRET_MANAGER_PROJECT_ID)，而且效果很好。唯一的问题是它是一个触发器环境，它在重建时不可用，这会破坏很多东西。

有谁知道如何在不使用触发器参数的情况下从 CloudBuild 中获取 Secret Manager 的 PROJECT_ID？

Answer 1

目前，无法在 secret 字段中设置动态值。我已经将此反馈直接提供给 Google Cloud PM，它已被考虑在内，但我没有更多信息可以分享，尤其是可用性方面的信息。

---

编辑 1

(1 月 22 日)。感谢 Seza443 的评论，我再次进行了测试，现在它可以使用自动填充的变量(PROJECT_ID 和 PROJECT_NUMBER)，还可以使用客户定义的替换变量!