GKE工作负载标识池与来自工作负载标识联合的工作负载标识池

Question

Google docu表示，工作负载标识可以用来授权GKE POD使用Google API提供的服务（而且效果很好）。它还表示，将有一个自动创建的标识池，名为PROJECT\u ID.svc。id.goog。

关于工作负载标识联合的Docu说：“您可以使用工作负载标识池来组织和管理外部标识。”

在我按照这里所述配置了工作负载标识（并且工作正常）之后，我正在尝试检索项目中现有的工作负载标识池，我希望看到project\u ID.svc。id.goog。我使用此命令列出池：gcloud beta iam workload identity pools list--location=“global”--显示已删除的池，作为输出，我得到：

local@local:~/$ gcloud beta iam workload-identity-pools list --location="global"
Listed 0 items.

那么，GKE工作负载标识池和来自工作负载标识联合的工作负载标识池仅仅是两个绝对独立的实体吗？或者它只是测试版API，而不是完全工作的atm？还是第三个？




Answer 1

有时很难找到正确的产品名称。2种不同产品的非常相似的名称。-

工作负载标识是一个GKE插件。在深入研究之前，您必须知道，在谷歌云平台上，您不需要使用服务帐户密钥文件，因为服务帐户会自动加载到每个服务上（计算引擎、应用引擎、云运行、云功能、云构建等）并可通过元数据服务器访问。Google云客户端库自动检测环境并使用元数据服务器（如果存在）。

GKE的问题是，您可以在几个不同的计算引擎实例（节点）上运行容器，并且您的不同服务（K8S服务）可以具有不同的授权级别。如果您依赖计算引擎服务帐户（没有Workload identity插件的默认行为），那么相同实例上的所有POD都使用相同的服务帐户（因此具有相同的权限）。

为了解决这个问题，Workload Identity插件创建了一个代理来拦截元数据服务器调用，并在GKE上使用此pod/service的正确绑定服务号进行回复

工作负载身份池完全不同。原则是配置第三方身份提供者（例如AWS、Okta，甚至自定义）并定义接受第三方令牌的条件（电子邮件、索赔、...）。

当令牌被接受时，您可以执行调用来模拟服务号，从而生成一个新令牌（这次是符合Google的令牌），您将能够在后续调用中使用该令牌。

这里的原则是避免使用服务帐户密钥文件，并依赖第三方身份提供商与GCP交互。例如，在AWS上，您需要调用BigQuery，您可以使用工作负载标识池和您的AWS标识创建一个令牌，然后调用BigQuery，而无需在平台之间交换机密。

注意：保守秘密的最好方法是不要有秘密！