觀點 · 資訊分享

Google Cloud Secret Manager 新增多區域位置：美國、歐盟、加拿大、印度可選，主控台已能直接挑

Secret Manager 的區域型密鑰，現在除了單一區域，還能放在 us、eu、ca、in 四個多區域位置，資料分散在同一大區的多個機房。亞太地區目前只有印度有多區域選項。

一句話看懂：Google Cloud 的 Secret Manager 讓區域型密鑰除了放在單一區域，現在也能放進 us、eu、ca、in 四個多區域位置，6 月 19 日起在主控台建立時可以直接挑。

Secret Manager 新增多區域位置資訊圖卡：區域型密鑰能放進 us、eu、ca、in 四個多區域，不必只綁一區

先用白話講：密鑰要放哪裡？

想像你有一個放重要鑰匙的保險箱。Secret Manager 就是雲端上的保險箱，專門存 API 金鑰、資料庫密碼這類不能外洩的東西。

保險箱可以怎麼放？

這次新增的，就是第二種「多區域」選項。

依照 Google Cloud 的版本資訊：

文件對兩種選項的描述是：選「Region」是存在單一區域，延遲最小；選「Multi-region」則是複製到多個位置，主打高可用。

上表整理自官方文件的位置說明與建立區域型密鑰頁面。

要特別注意兩點：

區域型密鑰要透過該位置的專屬端點存取，用 gcloud 建立大致像這樣：

gcloud secrets create SECRET_ID --location=LOCATION

LOCATION 是密鑰所在位置的名稱，多區域位置的名稱是 us、eu、ca、in，實際可用寫法請以官方文件為準
REST 的網址格式是 secretmanager.LOCATION.rep.googleapis.com，也就是所謂的區域端點（regional endpoint），它只讓位置相符的資源通過請求
官方說明，若要強制大家都用區域端點，可以用組織政策（organization policy）限制
若資料有落地規範，文件建議把資源建立在支援區域端點的位置

接案時偶爾會碰到客戶問：「我們的資料可以放在哪個國家？」雖然機密資料通常不是大宗，但金鑰跟密碼也算敏感資料，有些客戶的合規要求會一併涵蓋。這次多了多區域選項，等於在「單一區域」和「全球自動複製」之間補上了一個中間選項。

不過，對在台灣做專案的人，這次新增的位置幾乎用不上：多區域沒有包含東亞，台灣只有 asia-east1 這個單一區域。這種情況我會先確認客戶是不是真的有地點限制。如果沒有，用預設的全域密鑰最省事；如果有，就用 asia-east1，再另外設計備援，不要硬湊成一個不在需求內的位置。

Secret Manager 是做什麼的？

它是 Google Cloud 上用來集中保存密碼、API 金鑰、憑證等敏感資料的服務，程式在執行時再向它取值，不用把機密寫在程式碼或設定檔裡。

區域型密鑰和一般密鑰有什麼差別？

一般（全域）密鑰可以用自動複製，不限制儲存位置；區域型密鑰則會固定放在指定位置，並透過該位置的專屬端點存取，適合有資料落地或合規要求的情境。

多區域可以指定要放在哪個機房嗎？

不行。官方文件寫明，你只能選到 us、eu、ca、in 這個層級，無法在多區域裡挑選特定的資料中心。

我在台灣，要用哪個位置？

官方的位置表列出台灣的 asia-east1 支援區域型 Secret Manager，這是單一區域。目前列出的多區域位置沒有包含台灣或東亞，需要的話得評估單一區域加上自己的備援做法。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。