如何向kubernetes工作负载提供自定义GCP服务帐户？

Question

我正在使用GKE和Terraform配置一个高可用的kubernetes集群。多个团队将在集群上运行多个部署，我预计大多数部署将在一个自定义命名空间中，主要是出于隔离的原因。

我们的一个开放问题是如何管理集群上的GCP服务帐户。

我可以使用自定义GCP服务帐户创建集群，并调整权限，以便它可以从GCR中提取映像，日志到stackdriver等。我认为这个自定义服务帐户将被GKE节点使用，而不是默认的compute engine服务帐户。如果我在这方面错了，请纠正我！

1. 可以将部署的GCP服务帐户作为kubernetes机密添加到集群中，部署可以将其作为文件挂载，并将Google_Default_Credentails设置为指向它
2. 对实例元数据API的访问可能被拒绝给POD，或者可以更改元数据API返回的服务帐户吗？
3. 也许有一种GKE（或kubernetes）本地方法来控制提交给吊舱的服务帐户？

Answer 1

你在正确的轨道上。GCP服务帐户可以在GKE中用于PODs为GCP资源分配权限。

创建帐户：

cloud iam service-accounts create ${SERVICE_ACCOUNT_NAME} 

将IAM权限添加到服务帐户：

gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member="serviceAccount:${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
  --role='roles/${ROLE_ID}'

gcloud iam service-accounts keys create \
  --iam-account "${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
  service-account.json

kubectl create secret generic echo --from-file service-account.json

apiVersion: apps/v1
kind: Deployment
metadata:
  name: echo
spec:
  replicas: 1
  selector:
    matchLabels:
      app: echo
  template:
    metadata:
      name: echo
    spec:
      containers:
        - name: echo
          image: "gcr.io/hightowerlabs/echo"
          env:
            - name: "GOOGLE_APPLICATION_CREDENTIALS"
              value: "/var/run/secret/cloud.google.com/service-account.json"
            - name: "PROJECT_ID"
              valueFrom:
                configMapKeyRef:
                  name: echo
                  key: project-id
            - name: "TOPIC"
              value: "echo"
          volumeMounts:
            - name: "service-account"
              mountPath: "/var/run/secret/cloud.google.com"
      volumes:
        - name: "service-account"
          secret:
            secretName: "echo"

null