跨GCP项目在GKE集群中将Google服务帐户与Kubernetes集群服务帐户绑定

Question

我在一个GCP项目中构建了一个Google Kubernetes引擎（GKE）集群。

根据集群上运行的应用程序的不同用例，我将应用程序与不同的服务帐户和不同的授予权限相关联。为此，我将Google服务帐户（GSA）与库伯内特斯集群服务帐户（KSA）绑定如下：

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:PROJECT_ID.svc.id.goog[K8S_NAMESPACE/KSA_NAME]" \
  GSA_NAME@PROJECT_ID.iam.gserviceaccount.com

kubectl annotate serviceaccount \
  --namespace K8S_NAMESPACE \
  KSA_NAME \
  iam.gke.io/gcp-service-account=GSA_NAME@PROJECT_ID.iam.gserviceaccount.com

参考：https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity#option_2_node_pool_modification

我解释的一切工作正常。

目前，在不同的项目中有许多GKE集群。此外，分配给应用程序的服务帐户应该在托管GKE集群的同一个项目中创建。我计划将KSA的GSA集中到一个GCP项目中。

问题

>

是否有可能在一个项目中构建一个GKE集群，并在另一个项目中为运行在GKE集群上的应用程序创建一个GSA？

如果是这样，我必须扮演什么角色来授予与GKE集群相关的GSA？以便访问其他项目中的GSA，并将其与KSA绑定。

注意：此线程仅涉及与GKE集群上运行的应用程序关联的Google服务帐户（GSA），而不是与GKE集群关联的Google服务帐户（GSA）。

以及如何将GCP项目中的谷歌服务帐户（GSA）与另一个GCP项目中GKE集群中的库伯内特斯集群服务帐户（KSA）绑定。

Answer 1

这应该是可能的。您绝对可以在一个项目中创建服务帐户，并将其附加到另一个项目中的资源。

在托管您的服务号的项目中：

• 确保iam。disableCrossProjectServiceAccountUsage约束不适用于项目（这是通过更新项目的组织策略来实现的）

看https://cloud.google.com/iam/docs/impersonating-service-accounts#attaching-different-project