工作负载标识可用于2个不同的GCP项目？

Question

在GCP上，我需要使用2个GCP项目；一个用于web应用程序，另一个用于存储web应用程序的机密（其结构来自google的存储库）

如自述文件中所述，我将使用GCP Secret Manager存储机密

该项目分配给GCP Secret Manager，用于组织共享的机密。

1. prj机密：在机密管理器中创建机密

在prj应用程序中，我想使用工作负载标识，因为我不想使用serviceFactkey doc说

>

使用-workload pool=project-id.svc创建cluser。id.goog选项

头盔安装kubernetes-外部-秘密

[跳过]kubectl创建名称空间k8s名称空间（因为我在defaultname space上安装了kubernetes external secrets）

[skip]kubectl create serviceaccount——名称空间k8s名称空间ksa名称（因为我在创建GKE时使用defaultserviceaccount和默认存在）

使用模块“工作负载标识”创建谷歌服务帐户

module "workload-identity" {
   source               = "github.com/terraform-google-modules/terraform-google-kubernetes-engine//modules/workload-identity"
   use_existing_k8s_sa  = true
   cluster_name         = var.cluster_name
   location             = var.cluter_locaton
   k8s_sa_name          = "external-secrets-kubernetes-external-secrets"
   name                 = "external-secrets-kubernetes"
   roles                = ["roles/secretmanager.admin","roles/secretmanager.secretAccessor"]
   project_id           = var.project_id  #it is prj-aplication's project_id
}

• kubernetes_服务帐户名为外部机密kubernetes external secrets，在使用helm安装kubernetes external secrets时已创建。它绑定了k8s_sa_的名字

apiVersion: kubernetes-client.io/v1
kind: ExternalSecret
metadata:
  name: external-key-test
spec:
  backendType: gcpSecretsManager
  projectId: my-domain
  data:
    - key: key-test
      name: password

错误，7权限被拒绝：权限“secretmanager”。版本。“资源”项目/项目id/机密/外部密钥测试/版本/最新版本的访问被拒绝”（或者它可能不存在）。

我已经检查过了，如果我的prj秘密和prj申请是同一个项目，它是有效的。

所以我想的是，kubernetes serviceaccount（prj秘密）

我想知道是否有人知道

• 工作负载标识是否仅适用于同一项目

非常感谢。




Answer 1

@纪尧姆·布拉奎尔

非常感谢您的友好回复。

我做了service帐户[e-mail]-project id是prj-Application

更新：（v1）：删除，因为没有正确的

<罢工> 关于secret_id，它的 prj-秘密现在。

更新：（v1）补充结论

我明白。

外部秘密-kubernetes@prj-申请。国际机械师协会。gserviceaccount。com

• 必须在prj秘密项目的IAM中

再次感谢您@guillaume blaquiere

更新：（v1）：删除，因为没有正确的

但后来我遇到了问题；IAM绑定看起来不起作用。

在目前的结构中，我需要在

• prj应用程序中的k8s服务帐户（外部机密kubernetes外部机密）

不是吗？

但我无法约束它。

$gCloud iam service-帐户添加-iam-策略-绑定-角色角色/iam.workload标识用户-成员"service帐户：prj-application.svc.id.goog[默认/外部-秘密-kubernetes-outter-秘密]"[e-mail]

错误：（gcloud.iam.service accounts.add iam policy binding）未找到：服务帐户项目/prj应用程序/serviceAccounts/external secrets-kubernetes@prj-秘密。国际机械师协会。gserviceaccount。com不存在。

基于错误，在prj应用程序中，我没有serviceaccount外部机密-kubernetes@prj-秘密。国际机械师协会。gserviceaccount。com，（我知道，因为我改变了现状）

所以绑定prj应用程序的k8s serviceaccount

Answer 2

我想你的角色约束有问题。当你这么说的时候：

kubernetes_服务帐户名为external secrets kubernetes external secrets，是在安装kubernetes external secrets和helm时创建的。它绑定了k8s_sa_的名字

还不清楚。

1. 外部秘密[e-mail]。gserviceaccount。com，是在哪个项目上创建的？我猜是在prj申请中，但不清楚

• 在prj申请的IAM页面上
• 在prj秘密的IAM页面上
• 关于prj秘密中秘密的秘密

如果你做了第一个，这是错误的绑定，服务帐户只能访问prj应用程序的机密，而不能访问这些prj机密。

请注意，如果您只需要访问机密，则不要授予管理员角色，只需要访问器。