Zenn
🔐

Cloud Functions for Firebase で機密情報を扱う方法

に公開
Firebase
Cloud Functions
Google Cloud
Secret Manager
tech

はじめに

Cloud Functions for Firebase の処理を書いていると、Google Maps API などの外部サービスを呼び出したくなる場面に遭遇することがあります。
その際に、API キーなどの機密性の高い値を Cloud Functions for Firebase の処理にハードコーディングするのは危険です。
本記事では GoogleMapsAPI の API キーを例として、機密性の高い値を Cloud Functions for Firebase (TypeScript) で扱う方法を紹介します。

Secret Manager を利用する

firebase

Secret Manager とは？

API キー、パスワード、証明書、その他の機密データを保存するための、Google Cloud のサービスの１種です。
Secret Manager の利用が有効になっていない方は次のリンクから有効化してください。
https://cloud.google.com/secret-manager

Secret Manager に機密情報を保存する

ローカルプロジェクトフォルダのルートディレクトリから次のコマンドを実行します。

firebase functions:secrets:set YOUR_SECRET_KEY

上記コマンドを実行すると、実際に秘匿情報として保存したいキー情報を求められるので、キー情報をコピーしてターミナルに貼り付けましょう。
その後、Enter 押下することで、Secret Manager 上にキー情報が保存されます。

Secret Manager に機密情報が保存されたことを確認する

同じくローカルプロジェクトフォルダのルートディレクトリから次のコマンドを実行します。

firebase functions:secrets:access YOUR_SECRET_KEY

上記コマンド実行後、設定したキー情報が表示されることが確認できれば OK です。

Secret Manager に保存した値を Cloud Functions for Firebase 上 で読み取る

firebase-functions のrunWithメソッドを用います。
例として、本記事用に作成したメソッドを次に示します。

/**
 * 例）Firestore の command コレクションにドキュメントが生成されたら発火する Function
 */
export const onCreateCommand = functions
  .region(`asia-northeast1`)
  .runWith({ secrets: [`GOOGLE_MAP_API_KEY`] })
  .firestore.document(`/command/{id}`)
  .onCreate(async (snapshot) => {
    // Functionsのログにキー情報を吐き出してみる
    functions.logger.info(process.env.GOOGLE_MAP_API_KEY);
  });

上記メソッドを Cloud Functions for Firebase にデプロイ後、動作させてみると、Secret Manager に保存したキー情報が取得できていることが確認できました。
secret-manager

参考

GitHubで編集を提案

Discussion