Google Cloud Kubernetes无法正确读取应用程序凭据

Question

我正在尝试托管一个使用谷歌Kubernetes引擎的应用程序。我的docker映像在本地运行时可以工作，但当我将其放到Google Cloud上并使用kubernetes集群进行设置时，它以一种非常奇怪的方式失败了。

我能够连接到应用程序，并且它可以工作，直到我触发google.cloud.storage.client()的调用。然后它试图读取我通过Google_Application_Credentials环境变量提供的文件，结果出现了问题。我得到了这个（被截断和编辑的）回溯：

self.gcs_client = storage.Client()
  File "/usr/local/lib/python3.6/site-packages/google/cloud/storage/client.py", line 71, in __init__
    _http=_http)
  File "/usr/local/lib/python3.6/site-packages/google/cloud/client.py", line 215, in __init__
    _ClientProjectMixin.__init__(self, project=project)
  File "/usr/local/lib/python3.6/site-packages/google/cloud/client.py", line 169, in __init__
    project = self._determine_default(project)
  File "/usr/local/lib/python3.6/site-packages/google/cloud/client.py", line 182, in _determine_default
    return _determine_default_project(project)
  File "/usr/local/lib/python3.6/site-packages/google/cloud/_helpers.py", line 179, in _determine_default_project
    _, project = google.auth.default()
  File "/usr/local/lib/python3.6/site-packages/google/auth/_default.py", line 294, in default
    credentials, project_id = checker()
  File "/usr/local/lib/python3.6/site-packages/google/auth/_default.py", line 165, in _get_explicit_environ_credentials
    os.environ[environment_vars.CREDENTIALS])
  File "/usr/local/lib/python3.6/site-packages/google/auth/_default.py", line 89, in _load_credentials_from_file
    'File {} was not found.'.format(filename))
google.auth.exceptions.DefaultCredentialsError: File {--redacted--} was not found.

有没有人能猜到这里出了什么问题？

更新：看起来我已经让它工作了。我猜测发生错误的原因是，我使用valuefrom设置google_application_credentials，就像在bokeh.yaml文件中一样。这似乎将Google_Application_Credentials设置为等于bokeh.yaml的内容。这种格式似乎适用于教程代码中使用的pandas.io.gbq.read_gbq，但不适用于实例化google.cloud.storage.client()。将google_application_credential指向一个卷挂载的文件，就像DazWilkin建议的和Eric Guan所展示的那样。

Answer 1

我注意到你没有提到使用库伯内特的秘密。我是这么做的。

1. 在本地计算机上使用kubectl创建机密。

$ kubectl create secret generic gac-keys --from-file=<PATH_TO_SERVICE_ACCOUNT_FILE> 

这将创建一个名为gac-keys的秘密。它包含在 中找到的json文件。如果要重命名json文件，可以执行以下操作：

apiVersion: apps/v1beta1
kind: Deployment
metadata:
  name: my-app
spec:
  template:
    spec:
      volumes:
      - name: google-cloud-keys
        secret:
          secretName: gac-keys
      containers:
      - name: my-app
        image: us.gcr.io/my-app
        volumeMounts:
        - name: google-cloud-keys
          mountPath: /var/secrets/google
          readOnly: true
        env:
        - name: GOOGLE_APPLICATION_CREDENTIALS
          value: /var/secrets/google/new-file-name.json

文档：https://kubernetes.io/docs/concepts/configuration/secret/