使用工作負載身份為 GKE 節點池綁定 GCP IAM

Question

我正在使用 Cloud Composer 在 Kubernetes 中運行任務來安排作業。 我已經在與 composer 相同的 GKE 中設置了一個新節點池，並使用它來運行 Kubernetes 任務。 在該節點池中，我使用默認服務帳戶，但將該帳戶綁定到與 Composer 節點池相同的服務帳戶，使用 IAM 策略綁定並啟用工作負載身份。

但是，我可以從錯誤中看到 kubernetes 服務帳戶對作曲家服務帳戶確實有權訪問的某些內容缺乏權限。 這是沒有意義的，因為 kubernetes 服務帳戶具有與作曲家服務帳戶綁定的 IAM 策略，因此它們應該具有完全相同的權限。 但無論出於何種原因，這都是不正確的。 任何關於在哪里看的提示都非常感謝......

Answer 1

在節點池上啟用工作負載身份是解決方案。 使用 terraform 的解決方案如下所示：

resource "google_container_node_pool" "google_container_node_pool_name" {

    workload_metadata_config {
       mode = "GKE_METADATA"
}