[英]How to use kubernetes service account with golang?
实际上,我主要将 kube.netes 服务帐户与 NodeJS 一起使用,这工作正常,但我在 Go 中提供了一项服务,但我似乎无法使其与服务帐户一起使用(我知道服务帐户配置正确因为我用 pod 测试过它)。
我正在使用这个库https://github.com/aws/aws-sdk-go
到目前为止,我试过这个:
sess := session.Must(session.NewSession())
creds := stscreds.NewCredentials(sess, os.Getenv("AWS_ROLE_ARN"))
svc := s3.New(sess, &aws.Config{Credentials: creds})
还有这个(以防万一):
region := os.Getenv("AMAZON_REGION")
sess := session.Must(session.NewSession(&aws.Config{Region: ®ion}))
svc := s3.New(sess)
对于第一种情况,我收到以下错误:
AccessDenied: User: arn:aws:sts::xxxxxxxx:assumed-role/staging-worker-node/i-0xxxxxxxxx is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::xxxxxxxx:role/EKSServiceAccount-app
对于第二种情况,我得到了一个通用的权限错误。
我阅读了文档并尝试了更多的东西(这里可能不相关),但我看不到让它工作,可能是因为我对 golang 没有太多经验。
您可以尝试一些方法来让您的 Go 服务与 Kube.netes 上的服务帐户一起使用:
验证您的 Go 服务是否已正确配置为使用 Kube.netes 服务帐户。 这可以通过检查服务帐户是否正确安装为 pod 定义中的卷以及服务是否能够从该卷中读取凭据来完成。
确保您正在使用的 Go ( https://github.com/aws/aws-sdk-go ) 的 AWS SDK 配置为使用正确的凭据。 SDK 支持多种提供凭证的方法,包括环境变量、共享凭证文件和 IAM 角色。
您可以尝试使用k8s.io/client-go
库代替 Go 的AWS SDK
,这将帮助您使用 Kube.netes 服务帐户向 Kube.netes API 进行身份验证并获取 AWS SDK 所需的凭证.
如果您使用 Kube.netes 服务帐户向 AWS 等外部服务进行身份验证,您可能还需要配置一个 IAM 角色,以允许该服务帐户访问必要的资源。
仔细检查您的 Go 服务是否正确使用了 Kube.netes 服务帐户令牌并将其作为身份验证令牌传递给 AWS SDK。
您也可以尝试使用k8s.io/client-go
库来获取密钥并在您的 go 代码中使用它。
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.