GKE工作负载身份许可被拒绝

Question

我正在尝试使用谷歌首选的“工作负载身份”方法，使我的GKE应用程序能够安全地访问谷歌机密中的机密。

我已经完成了设置，甚至检查了故障排除部分的所有步骤(https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity?hl=sr-ba#故障排除）但我的日志中仍然出现以下错误：

未处理的异常。Grpc。果心RpcException:Status（StatusCode=PermissionDenied，Detail=“Permission”secretmanager.secrets.list”拒绝资源“项目/我的项目”（或者它可能不存在）。）

我认为问题是由于节点池没有使用正确的服务帐户，所以我重新创建了它，这次指定了正确的服务帐户。

服务帐户添加了以下角色：

云构建服务
• 帐户库伯内特斯引擎开发者
• 容器注册服务代理
• 秘密管理员秘密访问器
• 秘密经理查看器

我用来进行身份验证的软件包的相关源代码如下：

var data = new Dictionary<string, string>(StringComparer.OrdinalIgnoreCase);

var request = new ListSecretsRequest
{
    ParentAsProjectName = ProjectName.FromProject(projectName),
};

var secrets = secretManagerServiceClient.ListSecrets(request);
foreach(var secret in secrets)
{
    var value = secretManagerServiceClient.AccessSecretVersion($"{secret.Name}/versions/latest");
    string secretVal = this.manager.Load(value.Payload);
    string configKey = this.manager.GetKey(secret.SecretName);
    data.Add(configKey, secretVal);
}
Data = data;

裁判。https://github.com/jsukhabut/googledotnet

我是否错过了这个过程中的一个步骤？

你知道为什么谷歌仍然说“权限secretmanager.secrets.list”拒绝资源“项目/我的项目”（或者它可能不存在）？"

Answer 1

就像评论中提到的@sethvargo一样，您需要将服务号映射到您的Pod，因为工作负载标识不使用基础节点标识，而是将库伯内特斯服务号映射到GCP服务号。在工作负载标识中，一切都发生在每个Pod级别。

为应用程序分配一个库伯内特斯服务号，并将其配置为Google服务号。

1.创建具有所需权限的GCP服务帐户。

2.创建Kubernetes服务帐户。

3.分配Kubernetes服务帐户权限以模拟GCP服务帐户。

4.以Kubernetes服务帐户的身份运行您的工作负载。

希望您在项目或秘密中使用项目ID而不是项目名称。

无法更新已创建pod的服务帐户。

请参阅将服务号添加到Pod的链接。