如何为GKE部署中的Pod指定ServiceAcCountName。山羊

Question

我已经为工作负载标识配置了集群和节点池(https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity)但为了让它工作，我还需要让我的POD使用我为工作负载标识创建的kubernetes服务帐户。

我知道我可以在pod的YAML中指定serviceAccountName，但如何使用使用部署的Google CI/CD来实现这一点呢。亚马尔？或者我可以引用pod的YAML作为部署中的规范模板。亚马尔？抱歉，我是k8s的新手！

裁判https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/

本质上，我只是想让工作负载标识与我的应用程序一起工作，所以GOOGLE_APPLICATION_CREDENTIALS由Google设置，以便在我的应用程序中使用！

我在我的deployment.yaml中尝试了以下操作，但我在io.k8s.api.core.v1中得到了错误未知字段serviceAcCountName。容器；：

spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-application
  strategy:
    rollingUpdate:
      maxSurge: 25%
      maxUnavailable: 25%
    type: RollingUpdate
  template:
    metadata:
      labels:
        app: my-application
    spec:
      containers:
        - image: >-
            gcr.io/my-project/github.com/my-org/my-repo
          imagePullPolicy: IfNotPresent
          name: my-application
          serviceAccountName: my-k8s-svc-acct

Answer 1

压痕是错误的

应该是这样的

spec:
  containers:
    - image: nginx
      name: nginx
  serviceAccount: 
  serviceAccountName: 

Answer 2

serviceAccountName是pod spec对象的属性，而不是容器的属性。所以，它应该是：

spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-application
  strategy:
    rollingUpdate:
      maxSurge: 25%
      maxUnavailable: 25%
    type: RollingUpdate
  template:
    metadata:
      labels:
        app: my-application
    spec:
      serviceAccountName: my-k8s-svc-acct
      containers:
        - image: >-
            gcr.io/my-project/github.com/my-org/my-repo
          imagePullPolicy: IfNotPresent
          name: my-application