Поддержка Lockbox

[Inv1x]

Сейчас приходится использовать отдельный action для получения секретов из Lockbox, а затем их пробрасывать как environment variable. При этом далеко не все значения, приходящие из Lockbox, могут записаться. Было бы круто, если бы была возможность указать именно lockbox переменные

[nikolaymatrosov]

Пришлёте PR? Ну или хотя бы пример того, как бы вы хотели описывать эти значения в action'е?

[Inv1x]

Например:

yc-sa-json-credentials: 'credentials'
...
lockbox-secrets:
- name-in-function: 'test1'
  secret_id: 'some_id'
  version_id: 'ver_id'
  key: 'key'
- name-in-function: 'test2'
  secret_id: 'some_id'
  version_id: 'ver_id'
  key: 'key'

Конкретно сейчас набросить код для подобного не могу, но я надеюсь, что написал понятно и идея видна. По сути, lockbox-secrets просто будет принимать массив из объектов, описывающих каждый секрет отдельно

[nikolaymatrosov]

Так работать не будет. Input'ы в github action принимают только строки. Никаких списков объектов. actions/toolkit#184 (comment)

[Inv1x]

А если на подобии такого? Имплементация в Serverless Plugin. Единственное требование - доступ к Lockbox у того же SA, что отвечает за деплой функции. Передавать в качестве multiline параметра

lockbox-secrets: |
  name-in-func: ${{ lockbox:<lockbox_secret_id>/<lockbox_secret_key> }}
  name-in-func2: ${{ lockbox:<lockbox_secret_id>/<lockbox_secret_key2> }}

[Inv1x]

Единственное, решение в Serverless, по всей видимости, не самое актуальное, так как нет ни версий функций, ни значений из файла.

async getLockboxSecretKey(secretId: string): Promise<Record<string, string | undefined>> {
    const result: Record<string, string | undefined> = {};
    const response = await this.lockboxPayloadService.get(CloudApiLockboxPayloadService.GetPayloadRequest.fromPartial({
        secretId,
    }));

    for (const entry of response.entries) {
        result[entry.key] = entry.textValue;
    }

    return result;
}

[nikolaymatrosov]

Так вы не можете примонтировать в переменные окружения функции секрет с типом файл. Так просто не будет работать. Поэтому и нет.

[Inv1x]

Сделал PR, опирался на эту доку