Google Kubernetes引擎上的Firebase授权

Question

我无法在docker容器中使用Python Firebase Admin SDK，特别是在Google Kubernetes引擎（GKE）上。相同的容器在云运行时没有问题。我相信问题在于权限，但我已经被卡住了。任何帮助都将不胜感激！

下面是flask应用程序的概要。这三条路径都在Cloud Run上运行，前两条在GKE上运行，第三条失败。

# realtime database address 
dbAddress = 'https://[projectID].firebaseio.com/'

# initialize the firebase SDK
credentials = None # the service account should provide the credentials
firebase_admin.initialize_app(credentials,{'databaseURL': dbAddress})

@app.route('/')
def hello_world(): # works on cloud run and GKE
    print('Hello, World print statement!')
    return 'Hello, World!'

@app.route('/simplepost', methods = ['POST'])
def simple_post():# works on cloud run and GKE
    content = request.get_json()
    return {'results': content}, 201

@app.route('/firepost', methods = ['POST'])
def fire_post(): # works on cloud run. FAILS ON GKE!
    jobRef = db.reference('jobs/').push()
    return {'results': jobRef.path}, 201

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=int(os.environ.get('PORT', 8080)))

带容器的回购（需要您自己的firebase项目）：https://github.com/crispyDyne/GKE-py-fire

来自GKE控制台的错误：

Traceback (most recent call last):
  File "/usr/local/lib/python3.8/site-packages/firebase_admin/db.py", line 943, in request
    return super(_Client, self).request(method, url, **kwargs)
  File "/usr/local/lib/python3.8/site-packages/firebase_admin/_http_client.py", line 117, in request
    resp.raise_for_status()
  File "/usr/local/lib/python3.8/site-packages/requests/models.py", line 941, in raise_for_status
    raise HTTPError(http_error_msg, response=self)
requests.exceptions.HTTPError: 401 Client Error: Unauthorized for url: https://[projectName].firebaseio.com/jobs.json

我试图通过“工作量标识”解决权限问题，但没有成功。

当我创建我的GKE集群时，我为具有所有者角色的节点池设置了一个服务号（应该是多余的）。在群集安全下，我选择“启用工作负载标识”复选框。

然后，我使用以下说明配置Kubernetes服务帐户：https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity#gcloud_1

我从容器注册表部署工作负载，并使用外部负载平衡器（端口：80，目标端口：8080）公开它。前两条路线运行良好，但第三条路线失败。当部署在Cloud Run上时，这三个都可以正常工作。

希望我正在做一些愚蠢的事情，这是一个简单的解决办法！干杯

Answer 1

经过多次努力，我想我终于明白了。以下是三种方法：创建集群、部署容器，以及在pod中使用正确的应用html" target="_blank">程序默认凭据。

1.工作负载标识（基本上是这篇工作负载标识文章，添加了一些部署细节）

这种方法是首选的，因为它允许群集中的每个Pod部署只被授予它需要的权限。

使用的googleService帐户需要分配适当的角色（见下文）。

创建群集（注意：没有定义范围或服务号）

gcloud beta container clusters create {cluster-name} \
  --release-channel regular \
  --identity-namespace {projectID}.svc.id.goog

然后创建k8sServiceAccount，分配角色并注释。

gcloud container clusters get-credentials {cluster-name}

kubectl create serviceaccount --namespace default {k8sServiceAccount}

gcloud iam service-accounts add-iam-policy-binding \
  --member serviceAccount:{projectID}.svc.id.goog[default/{k8sServiceAccount}] \
  --role roles/iam.workloadIdentityUser \
  {googleServiceAccount}

kubectl annotate serviceaccount \
  --namespace default \
  {k8sServiceAccount} \
  iam.gke.io/gcp-service-account=$3

然后我创建我的部署，并设置k8sService帐户。（设置服务号是我错过的部分）

kubectl create deployment {deployment-name} --image={containerImageURL}
kubectl set serviceaccount deployment {deployment-name} {k8sServiceAccount}

然后以8080为目标曝光

kubectl expose deployment {deployment-name}  --name={service-name} --type=LoadBalancer --port 80 --target-port 8080

2.群集服务帐户

此方法不是首选方法，因为集群中的所有VM和POD都将基于定义的服务帐户拥有权限。

使用分配的服务帐户创建群集

gcloud beta container clusters create [cluster-name] \
 --release-channel regular \
 --service-account {googleServiceAccount}

使用的googleService帐户需要分配适当的角色（见下文）。

然后按上述方式部署和公开，但不设置k8sServiceAccount

3.范围

此方法不是首选方法，因为集群中的所有VM和POD都将具有基于定义的作用域的权限。

创建具有指定范围的集群（firestore只需要“云平台”，实时数据库也需要“userinfo.email”）

gcloud beta container clusters create $2 \
  --release-channel regular \
  --scopes https://www.googleapis.com/auth/cloud-platform,https://www.googleapis.com/auth/userinfo.email

然后按上述方式部署和公开，但不设置k8sServiceAccount

前两种方法需要一个分配了相应角色的谷歌服务帐户。以下是我分配给一些Firebase产品的角色：

• FireStore：云数据存储用户（数据存储）