无法通过具有工作负载标识的GKE连接到云SQL代理

Question

我遵循谷歌云平台的指南，通过使用云SQL代理和公共IP地址的GKE集群连接到云SQL实例(https://cloud.google.com/sql/docs/postgres/connect-kubernetes-engine).但是，在尝试部署应用程序后，我在容器日志中出现以下错误。

{ Error: connect ECONNREFUSED 127.0.0.1:5432
    at TCPConnectWrap.afterConnect [as oncomplete] (net.js:1107:14)
  errno: 'ECONNREFUSED',
  code: 'ECONNREFUSED',
  syscall: 'connect',
  address: '127.0.0.1',
  port: 5432 }

然后是错误信息

2021/02/01 05:35:31 the default Compute Engine service account is not configured with sufficient permissions to access the Cloud SQL API from this VM. Please create a new VM with Cloud SQL access (scope) enabled under "Identity and API access". Alternatively, create a new "service account key" and specify it using the -credential_file parameter

此外（我假设是相关的），当我检查集群中节点的计算引擎时，我看到Cloud SQL Cloud API访问范围被禁用。有没有办法做到这一点？

我知道有多种方法可以通过GKE群集连接到云SQL实例，但是，我想在凭据文件上使用工作负载标识。

Answer 1

如果不在计算引擎VM上使用默认服务帐户，则不需要使用VM的作用域。范围仅在计算引擎默认服务帐户中强制执行，而在自定义服务帐户中则不强制执行。

如果在群集上使用Workload标识，这是一回事（因为使用的不是计算引擎默认服务号，而是自定义服务号）。和是首选此服务帐户密钥文件。