如何确定 GKE 集群正在使用的 IAM 服务帐户

Question

我的一个 pod 需要访问一个谷歌存储桶，但我的权限一直被拒绝。 看起来好像权限是有序的。 但是，我无法在任何地方找到错误消息明确指出正在使用哪个帐户，所以我推测它没有使用我认为是的帐户。 我如何确定正在使用哪个帐户，要么通过询问 GKE，要么通过向存储桶询问安全审计细节，或者......？

Answer 1

您可以使用以下命令从 GKE 集群中获取服务帐户：

kubectl get  serviceaccount  -o  yaml

您可以使用此命令获取项目中使用的服务帐户列表

gcloud projects get-iam-policy (your project ID)

此外，如果您的部署是在 GKE 集群上使用 Workload Identity 创建的，则您可以按照本指南排查问题。