Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

在作業套件代理程式指標設定中管理密鑰

設定部分第三方整合服務時，您必須為 Ops Agent 指標接收器提供密碼等 Secret。根據預設，這些密鑰會以純文字形式儲存在代理程式的 config.yaml 檔案中。這些密鑰會寫入代理程式產生的系統記錄檔，並傳輸至 Cloud Logging，因此會暴露在執行 Ops Agent 的虛擬機器 (VM) 之外。

從 Ops Agent 2.57.0 版開始，您可以使用整合式 OpenTelemetry provider Secret Manager，消除設定檔中的明文密碼。

供應器是 OpenTelemetry 設定元件，類似於接收器和處理器元件。每個供應商都有類型，且每種供應商類型都會將設定中的特定 ID 對應至值。

googlesecretmanager 供應商會將 Secret Manager 識別碼對應至您儲存在 Secret Manager 中的密鑰，例如密碼、權杖和 API 金鑰。使用 googlesecretmanager 供應器可享有下列好處：

提升安全性：設定檔不會包含密碼等私密資訊。實際密鑰會儲存在 Secret Manager 中，這項服務專門用於安全地儲存、存取及管理機密資料。
降低曝光風險：Secret Manager 會在初始化 Ops Agent 時擷取密鑰，避免純文字密鑰意外記錄在記錄檔中。

您只能在自訂 Ops Agent 設定中，設定指標收集功能時使用 googlesecretmanager。請勿使用供應商來取代記錄收集設定中的密鑰。

事前準備

如要使用 googlesecretmanager 提供者，請按照下列步驟啟用 Secret Manager API 並允許存取該 API：

安裝 Google Cloud CLI。完成後，執行下列指令來初始化 Google Cloud CLI：
```
gcloud init
```
如果您使用外部識別資訊提供者 (IdP)，請先使用聯合身分登入 gcloud CLI。
設定 Google Cloud CLI 的預設專案：
```
gcloud config set project PROJECT_ID
```
執行上述指令前，請將 PROJECT_ID 變數替換為專案的 Google Cloud ID。
如果尚未啟用 Secret Manager API，請啟用：
啟用 API 時所需的角色
如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。
```
gcloud services enable secretmanager.googleapis.com
```
更新執行個體的 OAuth 存取權範圍，加入 Secret Manager 的必要範圍 https://www.googleapis.com/auth/cloud-platform：
```
gcloud compute instances set-service-account "INSTANCE_ID" \
  --service-account "SERVICE_ACCT_EMAIL" \
  --scopes "https://www.googleapis.com/auth/cloud-platform"
```
執行上一個指令前，請替換下列變數：
- INSTANCE_ID：虛擬機器的 ID。
- SERVICE_ACCT_EMAIL：與 VM 相關聯的服務帳戶地址。
詳情請參閱「存取 Secret Manager API」。
授予管理 Ops Agent 設定的使用者建立及管理密鑰所需的權限。Identity and Access Management 角色 roles/secretManager.secretAdmin 包含下列必要權限：
```
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:USER_EMAIL" \
  --role=roles/secretManager.secretAdmin
```
執行上一個指令前，請替換下列變數：
- PROJECT_ID：專案的 ID。 Google Cloud
- USER_EMAIL：要授予角色的使用者地址。
授予與 VM 相關聯的服務帳戶存取密鑰所需的權限。Identity and Access Management 角色 roles/secretManager.secretAccessor 包含下列必要權限：
```
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:SERVICE_ACCT_EMAIL" \
  --role=roles/secretManager.secretAccessor
```
執行上一個指令前，請替換下列變數：
- PROJECT_ID：專案的 Google Cloud ID。
- SERVICE_ACCT_EMAIL：與 VM 相關聯的服務帳戶地址。

以受管理密鑰取代純文字密鑰

如要使用 Secret Manager 和 googlesecretmanager 提供者，避免在設定檔中使用純文字密鑰，請按照下列步驟操作：

在 Secret Manager 中，為設定檔中的每個純文字密鑰建立密鑰。
將設定檔案中的每個純文字密鑰，替換為 Secret Manager 中對應密鑰的參照。

舉例來說，如果您使用 mysql 指標接收器，設定檔可能會包含類似下列的項目：

receivers:
  mysql:
    type: mysql
    username: root
    password: plaintext-secret

在本例中，您要將 plaintext-secret 字串放入 Secret Manager，然後將純文字密鑰替換為受管理密鑰的參照。

為純文字密鑰建立 Secret Manager 密鑰

如要建立包含純文字密鑰 plaintext-secret 的 Secret Manager 密鑰，請執行下列指令：

echo -n "plaintext-secret" | gcloud secrets create SECRET_NAME \
    --replication-policy="automatic" \
    --data-file=-

執行上一個指令前，請替換下列變數：

plaintext-secret：以純文字形式的密碼取代。
SECRET_NAME：請將此名稱替換為有意義的名稱。

新密鑰的完整資源名稱格式如下，其中 VERSION 為 1：

projects/PROJECT_ID/secrets/SECRET_NAME/versions/VERSION

如要進一步瞭解如何在 Secret Manager 中儲存、版本化及存取密鑰，請參閱「建立密鑰」。

取代純文字密鑰

如要更新設定檔，請將每個純文字密鑰替換為對 googlesecretmanager 提供者和受管理密鑰資源名稱的參照，如下列範例所示：

receivers:
  mysql:
    type: mysql
    username: root
    password: ${googlesecretmanager:projects/PROJECT_ID/secrets/SECRET_NAME/versions/VERSION}

重新啟動 Ops Agent

Linux

如要重新啟動代理程式，請在執行個體上執行下列指令：
```
sudo systemctl restart google-cloud-ops-agent
```
如要確定代理程式已重新啟動，請執行下列指令，並驗證「指標代理程式」和「Logging 代理程式」元件是否已啟動：
```
sudo systemctl status "google-cloud-ops-agent*"
```

Windows

使用 RDP 或類似工具連線至執行個體，然後登入 Windows。
以滑鼠右鍵按一下 PowerShell 圖示，然後選取「以系統管理員身分執行」，以管理員權限開啟 PowerShell 終端機。
如要重新啟動代理程式，請執行下列 PowerShell 指令：
```
Restart-Service google-cloud-ops-agent -Force
```
如要確定代理程式已重新啟動，請執行下列指令，並驗證「指標代理程式」和「Logging 代理程式」元件是否已啟動：
```
Get-Service google-cloud-ops-agent*
```

在作業套件代理程式指標設定中管理密鑰 透過集合功能整理內容 你可以依據偏好儲存及分類內容。