基于工作负载标识的GKE节点池GCP IAM绑定

Question

我使用Cloud Composer在Kubernetes中运行任务来安排作业。我在与composer相同的GKE中设置了一个新的节点池，并使用它来运行Kubernetes任务。在该节点池中，我使用默认服务帐户，但将该帐户绑定到与Composer节点池相同的服务帐户，使用IAM策略绑定，并启用工作负载标识。

然而，我可以从错误中看到kubernetes服务号缺少作曲家服务号可以访问的一些东西的权限。这是没有意义的，因为kubernetes服务号有一个绑定到作曲家服务号的IAM策略，所以它们应该具有完全相同的权限。但无论出于什么原因，这都不是真的。任何关于在哪里看的提示都非常感谢...

Answer 1

解决方案是在nodemool上启用工作负载标识。使用terraform的解决方案如下：

resource "google_container_node_pool" "google_container_node_pool_name" {

    workload_metadata_config {
       mode = "GKE_METADATA"
}