2

我们已经为我们的一个基于 Java / Tomcat 的应用程序设置了一个 CloudSQL 代理作为 sidecar 容器。

以下是我们如何设置工作负载身份以使我们的应用程序能够通过 cloudsql 代理连接到 CloudSQL：

  1. 创建 Cloud IAM 服务帐户并为其授予 SQL 客户端权限：

  2. 设置策略绑定如下：

    gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:[PROJECT_ID].svc.id.goog[default/default]" \
 [GSA_NAME]@[PROJECT_ID].iam.gserviceaccount.com

  3. 为 GKE 服务帐号添加注释：

    kubectl annotate serviceaccount \
  --namespace [K8S_NAMESPACE] \
  [KSA_NAME] \
  iam.gke.io/gcp-service-account=[GSA_NAME]@[PROJECT_ID].iam.gserviceaccount.com

  4. 但是当我们使用以下方法进行测试时：

    kubectl run --rm -it \
  --generator=run-pod/v1 \
  --image google/cloud-sdk:slim \
  --serviceaccount [KSA_NAME] \
  --namespace [K8S_NAMESPACE] \
  workload-identity-test

尽管按照本页的说明正确执行了所有操作，但仍会导致：

Error 403: The client is not authorized to make this request., notAuthorized
4

1 回答 1

1

事实证明，Google Cloud IAM 中存在一个似乎会影响服务帐户的故障。

  1. 删除在第 1 步中创建的现有 Cloud IAM 服务帐号以及与其关联的角色。
  2. 再次重新创建服务帐户（具有相同的考试权限）

这应该可以解决问题。当然，您必须再次重做第 2 步和第 3 步才能完成设置，但它可以工作。

于 2020-01-22T11:32:13.250 回答