所有命名空間的 GKE Workload Identity 服務帳號

Question

我正在按照指南設置 GCP 的工作負載標識，並使其適用於針對默認 Kubernetes 命名空間配置的服務帳戶，如下所示：

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:[PROJECT_ID].svc.id.goog[default/[KSA_NAME]]" \
  [GSA_NAME]@[PROJECT_ID].iam.gserviceaccount.com

我想知道是否有辦法為所有 k8s 命名空間創建綁定； 像下面這樣，我用*替換了默認命名空間：

--member "serviceAccount:[PROJECT_ID].svc.id.goog[*/[KSA_NAME]]"

有沒有辦法做到這一點？

Answer 1

無法將所有命名空間設置為 Kubernetes 服務帳戶 (KSA)。 也許您必須獲取每個命名空間並為每個命名空間進行綁定，自動化腳本可以幫助在此過程中執行 n 次（每個命名空間 1 次）。

您只能使用以下 kubectl 命令獲取命名空間列名：

kubectl get ns --all-namespaces --no-headers -o custom-columns=":metadata.name"

得到這樣的東西：

default
kube-public
kube-system

可用於使用綁定自動化腳本迭代它們。