将 Kubernetes 服务帐号连接到 Google Cloud 服务帐号

Question

我正在开发在 Google Kubernetes 引擎中运行的服务，我想使用该服务中的 Google Cloud 功能。 我在 Google Cloud 中创建了一个具有所有必要角色的服务帐户，我想从运行我的服务的 pod 中使用这些角色。

我读过这个： https://cloud.google.com/kubernetes-engine/docs/tutorials/authenticating-to-cloud-platform我想知道是否有更简单的方法来“连接”这两种服务帐户（在 Kubernetes 中定义 - 在 Google Cloud IAM 中定义）？

谢谢

Answer 1

我认为没有任何直接联系。 K8s服务帐户完全是内部帐户。 您可以尝试向GIAM授予serviceaccount:name权限，但这似乎不太可能。 您更有可能将Google SA凭据保密，然后编写RBAC策略，使您的K8s SA对其具有读取权限。

Answer 2

阅读该主题。 您需要在集群上启用 Workload Identity，然后您可以在 google 上使用 IAM 注释 kubernetes 服务帐户。 https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity