TerraformでGKEのPodにSecret Managerの値をファイルとしてマウントしてみた

Fri, 04 Sep 2026 00:00:00 +0900

概要
#

Terraformのwrite-only argumentでSecret Managerへ値を登録するでは、シークレットを保管するところまでを扱いました。保管した値をPodからどう取り出すかは残ったままです。

環境変数で渡す方法は手軽ですが、kubectl describe podやプロセス一覧から値が見えてしまいます。GKEのSecret Manager add-onを使うと、Podのファイルシステムにマウントする形で渡せます。

ただ「マウントできた」だけでは運用に足りません。シークレットを更新したら自動で反映されるのか。権限を剥がしたら動いているPodはどうなるのか。ログに何が残るのか。運用に入ってから調べ直すのでは遅いので、この3点を先に確かめておく必要があります。

対象読者は、GKEでPodを動かしたことがあり、Secret Managerに値を入れたことがある人です。それぞれの入門は扱いません。

環境変数への同期（secretObjects）は扱いません。シークレットの自動ローテーションも扱いません。

検証すること
#

Podの中でマウントしたファイルが読めること。Pod specに値が現れないこと
シークレットを更新したとき、稼働中のPodに自動で反映されるか
IAM権限を剥がしたとき、稼働中のPodと新しいPodがそれぞれどうなるか
Cloud Loggingに何が残るか

前提環境
#

Google Cloud CLI、Terraform、Docker
Billingが有効な検証用Google Cloud Project
GKE、Secret Manager、Compute Engineを操作できるGoogleアカウント
検証時のバージョン：Terraform 1.14.3、google 7.46.0

使用するTerraformコード
#

Advanced-Examples/19-gke-secret-manager-csi

今回の構成
#

flowchart TB
    subgraph GCP["Google Cloud"]
        SM["Secret Manager
（値はTerraform管理外）"]
        subgraph Project["Project"]
            subgraph VPC["VPC"]
                subgraph GkeSubnet["GKE Subnet（外部IPなし）"]
                    CSI["CSIドライバ
DaemonSet"]
                    Pod["Pod
/var/secrets/db-password.txt"]
                end
                Bastion["踏み台"]
            end
        end
    end

    CSI -->|"Private Google Access"| SM
    CSI -->|"ファイルとして配置"| Pod

ノードには外部IPがありません。Secret Manager APIへはPrivate Google Access経由で到達します。

TerraformでCloud RunからCloud SQL for PostgreSQLへ接続してみた

Tue, 11 Aug 2026 00:00:00 +0900

概要
#

Cloud RunからCloud SQLへ接続する際、Database Passwordをどこへ渡すかで迷います。環境変数へ直接書けば手軽ですが、Terraform StateやCI Logへ残るとSecretが漏れる経路になります。

そこでDatabase PasswordはSecret Managerへ保存します。Cloud RunのRuntime Service Accountには必要な権限だけを付与する設計です。接続自体もIPアドレスではなくUnix Socketを使い、Cloud SQL Auth Proxyの経路に任せます。

Terraformの基本操作とDockerコマンドは前提としています。Cloud Run、Cloud SQL、Secret Managerを個別には触ったことがある方向けです。

Private IP、Connection Pooling、HA構成は扱いません。Password Rotationの自動化も扱いません。

検証すること
#

Cloud Run、Cloud SQL、Secret Manager、Artifact Registryを連携できること
Write-only ArgumentでDatabase PasswordをStateへ保存せず登録できること
Runtime Service Accountへ必要最小限の権限を付与できること
Cloud RunからUnix Socket経由でPostgreSQLへ接続できること

前提環境
#

Google Cloud CLI、Terraform 1.11以降、Docker
Billingが有効な検証用Google Cloud Project
Cloud Run、Cloud SQL、Secret Manager、Artifact Registry、IAMを操作できるGoogleアカウント
検証時のバージョン：Terraform 1.14.3、google 7.43.0

今回の構成
#

Cloud RunとCloud SQLはどちらもVPCの外にあります。接続にはUnix Socketを使います。

SecretManager on LIFELOG

TerraformでGKEのPodにSecret Managerの値をファイルとしてマウントしてみた

概要 #

検証すること #

前提環境 #

使用するTerraformコード #

今回の構成 #

TerraformでCloud RunからCloud SQL for PostgreSQLへ接続してみた

概要 #

検証すること #

前提環境 #

今回の構成 #

概要
#

検証すること
#

前提環境
#

使用するTerraformコード
#

今回の構成
#

概要
#

検証すること
#

前提環境
#

今回の構成
#