1

我有一个包含以下数据的 Google Cloud IAM 服务帐户密钥文件（json 格式）。

{
"type": "service_account",
"project_id": "****",
"private_key_id":"****",
"private_key": "-----BEGIN PRIVATE KEY----blah blah -----END PRIVATE KEY-----\n",
"client_email": "*****",
"client_id": "****",
"auth_uri": "https://accounts.google.com/o/oauth2/auth",
"token_uri": "https://oauth2.googleapis.com/token",
"auth_provider_x509_cert_url": "https://www.googleapis.com/oauth/v1/certs",
"client_x509_cert_url": "****"
}

通过将此密钥文件传递给 kube API 客户端库，我可以使用此服务帐户访问 kubernetes API 服务器。

但是，我没有找到任何方法将此服务帐户传递给 kubectl 二进制文件，以使 kubectl 获得此服务帐户为其创建的项目的身份验证。

有什么方法可以让 Kubectl 使用此服务帐户文件进行身份验证？

4

1 回答 1

1

这个答案提供了一些指导：Access Kubernetes GKE cluster outside of GKE cluster with client-go? 但它并不完整。

你需要做两件事：

  1. 将GOOGLE_APPLICATION_CREDENTIALS环境变量设置为 IAM 服务帐户的 JSON 密钥文件的路径，并kubectl在设置此变量时使用，您应该使用令牌进行身份验证。

  2. （这可能是可选的，不确定）创建一个KUBECONFIG仅包含您的集群 IP 和 CA 证书的自定义，保存此文件，并使用它连接到集群。

第 2 步如下所示：

cat > kubeconfig.yaml <<EOF
apiVersion: v1
kind: Config
current-context: cluster-1
contexts: [{name: cluster-1, context: {cluster: cluster-1, user: user-1}}]
users: [{name: user-1, user: {auth-provider: {name: gcp}}}]
clusters:
- name: cluster-1
  cluster:
    server: "https://$(eval "$GET_CMD --format='value(endpoint)'")"
    certificate-authority-data: "$(eval "$GET_CMD --format='value(masterAuth.clusterCaCertificate)'")"
EOF

所以有了这个，你应该做

export GOOGLE_APPLICATION_CREDENTIALS=<path-to-key.json>
export KUBECONFIG=kubeconfig.yaml
kubectl get nodes
于 2019-02-21T21:07:53.457 回答