Secret Manager GCP

Définition

Google Cloud Secret Manager est le service managé de Google pour stocker, accéder et auditer les secrets dans GCP (mots de passe, tokens API, chaînes de connexion, certificats). Il offre une interface simple pour gérer les secrets applicatifs de manière sécurisée, avec chiffrement automatique (via Cloud KMS), contrôle d'accès IAM granulaire, versioning, et audit logging complet via Cloud Audit Logs. Secret Manager organise les secrets en deux niveaux : les Secrets (la ressource de base avec un nom et des métadonnées) et les SecretVersions (les valeurs concrètes du secret, avec un état : ENABLED, DISABLED, DESTROYED). Chaque secret peut avoir plusieurs versions ; la "latest" version est la plus récente ENABLED. Cette gestion des versions permet de référencer des secrets par version spécifique dans les applications critiques ou d'utiliser toujours la dernière version pour la rotation transparente. L'accès programmatique à Secret Manager depuis les applications GCP se fait via les clients SDK (Python: google-cloud-secret-manager, Java, Go, Node.js) ou l'API REST. Les authentifications utilisent les Application Default Credentials (ADC), qui utilisent automatiquement les Service Accounts attachés aux instances GCE, pods GKE (via Workload Identity), ou Cloud Functions. Les permissions IAM nécessaires sont roles/secretmanager.secretAccessor pour lire les valeurs de secrets. Les intégrations natives de Secret Manager incluent : GKE via Secret Manager CSI Driver (monte les secrets comme volumes dans les pods Kubernetes), Cloud Functions et Cloud Run (injection de secrets via les variables d'environnement ou les volumes montés sans code supplémentaire), Cloud Build (secrets disponibles dans les build steps), et App Engine (accès via les variables d'environnement sécurisées). La rotation des secrets est configurable via des notifications Pub/Sub : lorsqu'un secret approche de sa date de rotation (rotation_period), un message est publié sur un topic Pub/Sub, permettant à une Cloud Function de déclencher automatiquement la rotation et de mettre à jour les applications consommatrices.