具有工作负载标识的谷歌云Java SDK？

Question

试图找出如何从GKE集群中使用存储API进行身份验证。

代码：

Storage storage = StorageOptions.newBuilder()
  .setCredentials(ServiceAccountCredentials.getApplicationDefault())
  .setProjectId(gcpProjectId)
  .build().getService();

getApplicationDefault（）被记录为使用以下方法通过API进行身份验证：

1. {@code GOOGLE_APPLICATION_Credentials}环境变量指向的凭据文件

应用程序正在使用GCP工作负载标识功能，因此应用程序（群集内）服务号注释为：

serviceAccount.annotations.iam.gke.io/gcp-service-account: [e-mail]

现在，调用存储帐户失败，出现以下错误：

{
  "code" : 403,
  "errors" : [ {
    "domain" : "global",
    "message" : "Primary: /namespaces/my-project.svc.id.goog with additional claims does not have storage.objects.create access to the Google Cloud Storage object.",
    "reason" : "forbidden"
  } ],
  "message" : "Primary: /namespaces/my-project.svc.id.goog with additional claims does not have storage.objects.create access to the Google Cloud Storage object."
}

这让我觉得工作负载标识工作不正常。我希望收到带注释的服务帐户的错误消息，而不是默认的。

还有什么我应该做的吗？

Answer 1

注释错误。而不是：

serviceAccount.annotations.iam.gke.io/gcp-service-account: [e-mail]

它一定是

iam.gke.io/gcp-service-account: [e-mail]

现在，错误消息还显示应用程序正在使用工作负载标识：

java.io.IOException: Unexpected Error code 403 trying to get security access token from Compute Engine metadata for the default service account: Unable to generate access token; IAM returned 403 Forbidden: The caller does not have permission
This error could be caused by a missing IAM policy binding on the target IAM service account.
For more information, refer to the Workload Identity documentation:
    https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity#creating_a_relationship_between_ksas_and_gsas

Answer 2

除了注释语法之外，部分答案是，就像我一样，你可能没有仔细研究留档中的这部分：

    gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:PROJECT_ID.svc.id.goog[K8S_NAMESPACE/KSA_NAME]" \
  GSA_NAME@PROJECT_ID.iam.gserviceaccount.com

注意PROJECT_ID.svc。id.goog[K8S_名称空间/KSA_名称]piece。他们没有给出语法方面的例子，但在我的terraform中是这样的。

resource "google_project_iam_member" "app-binding-2" {
  role   = "roles/iam.workloadIdentityUser"
  member = "serviceAccount:${local.ws_vars["project-id"]}.svc.id.goog[mynamespace/myk8ssaname]"
}

奇怪的是，我不知道你可以将IAM策略绑定到k8s服务帐户，更奇怪的是，你可以在terraform中绑定它，即使名称空间不存在，更不用说服务帐户了。所以你可以在部署之前先运行这个。

我真的希望谷歌能提供更好的文档和支持，我花了几个小时才弄明白。