Secret Manager 提供 REST API 和 gRPC API，以便您直接或在应用中使用和管理 Secret。本页面介绍了如何启用 Secret Manager API 并配置 Cloud de Confiance by S3NS 项目以首次使用 Secret Manager。
在熟悉 Secret Manager 的过程中，我们建议您使用单独的 Cloud de Confiance 项目。删除项目时，也会删除测试期间创建的所有资源，包括收费资源。
如果您在安装了 Cloud Code 的 IDE 中开发应用，Secret Manager 会集成到该扩展程序中。这意味着，您无需离开 IDE 即可创建、查看、更新和使用 Secret。如需详细了解如何将 Secret Manager 与 Cloud Code 搭配使用，请参阅您偏好的 IDE（VS Code、IntelliJ 或 Cloud Shell Editor）的密钥管理指南。
准备工作
-
在 Cloud de Confiance 控制台中，前往项目选择器页面。
-
选择或创建 Cloud de Confiance 项目。
选择或创建项目所需的角色
- 选择项目：选择项目不需要特定的 IAM 角色，您可以选择已获授角色的任何项目。
-
创建项目：如需创建项目，您需要拥有 Project Creator 角色 (
roles/resourcemanager.projectCreator)，该角色包含resourcemanager.projects.create权限。了解如何授予角色。
启用 Secret Manager API
控制台
在 Cloud de Confiance 控制台中，前往 Secret Manager API 页面。
验证项目名称是否显示在页面顶部的项目选择器中。
如果您没有看到项目名称，请点击项目选择器，然后选择您的项目。
- 点击启用。
gcloud
-
在 Cloud de Confiance 控制台中，激活 Cloud Shell。
Cloud Shell 会话随即会在 Cloud de Confiance 控制台的底部启动，并显示命令行提示符。Cloud Shell 是一个已安装 Google Cloud CLI 且已为当前项目设置值的 Shell 环境。该会话可能需要几秒钟时间来完成初始化。
- 如需在 gcloud 会话中设置 Cloud de Confiance by S3NS 项目，请运行
gcloud config set project命令。将 PROJECT_ID 替换为您的 Cloud de Confiance 项目 ID。gcloud config set project PROJECT_ID
- 如需启用 Secret Manager API，请运行以下
gcloud services enable命令：gcloud services enable secretmanager.googleapis.com
- 如需验证 Secret Manager API 是否已启用，请运行
gcloud services list命令：gcloud services list --enabled
验证 Secret Manager API 是否列在已启用 API 的列表中。
访问环境中的区域级 Secret
为了创建和管理区域级 Secret，您的配置会使用一个中央端点，该端点依赖于全球服务器负载均衡器 (GSLB) 来路由请求。这与标准 Cloud de Confiance by S3NS不同，后者需要配置特定的区域端点。
使用此方法可确保您的工作负载仍能遵守数据驻留和数据主权要求，方法是在 API 调用或 Google Cloud CLI 命令中明确指定应存储 Secret 的位置。
为确保您的 Secret 存储在特定地理位置，您必须在请求中指定相应区域。
- Cloud de Confiance by S3NS：使用 Cloud de Confiance by S3NS时，请在命令中添加
--location标志。 - REST API：使用 REST API 时，请直接在请求网址中添加位置信息。
配置角色和权限
如需获得设置 Secret Manager 所需的权限，请让您的管理员为您授予项目的 Secret Manager Admin (roles/secretmanager.admin) IAM 角色。
如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。
如需详细了解 Secret Manager 的访问权限控制，请参阅使用 IAM 进行访问权限控制。
后续步骤
- 了解身份验证。
- 了解如何创建区域级 Secret。
- 了解如何添加区域级 Secret 版本。