Início / server / Perguntas / 1059794
Accepted
Martijn Heemels
Asked: 2021-04-09 10:16:57 +0800 CST

Como vincular uma conta de serviço de identidade de carga de trabalho a uma conta de serviço do GKE com o Deployment Manager?

  • 772

Habilitei a identidade da carga de trabalho em nosso cluster do GKE. Agora estou implantando um aplicativo no GKE que usa WI para autenticar em outro serviço do Google. Já usei o Deployment Manager para criar uma conta de serviço do IAM com acesso correto ao serviço do Google. Também implantei o aplicativo com sua própria conta de serviço do GKE no cluster.

Por fim, preciso vincular os dois tipos diferentes de contas de serviço. Isso permite que a conta de serviço do Kubernetes atue como a conta de serviço do Google, permitindo assim que o pod acesse os serviços em nuvem.

A documentação usa a gcloudferramenta CLI para adicionar a vinculação de política assim:

gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:PROJECT_ID.svc.id.goog[K8S_NAMESPACE/KSA_NAME]" \
  GSA_NAME@PROJECT_ID.iam.gserviceaccount.com

Claro, eu gostaria de fazer isso via GCP Deployment Manager (infra-as-code e tudo isso), mas não consigo descobrir a sintaxe correta do DM!?

Eu normalmente faço a ligação de função por meio do gcp-types/cloudresourcemanager-v1:virtual.projects.iamMemberBindingtipo, como no exemplo de código , mas não consigo descobrir como replicar o gcloudcomando acima e não consigo encontrar nenhum exemplo público. Quem pode ajudar, por favor?

Anteriormente actionsseriam usados, eu acho, mas como eles estão obsoletos, prefiro não usá-los para novo código. O iamMemberBindingparece ser o caminho recomendado.

google-cloud-platform kubernetes google-kubernetes-engine deployment-manager

1 respostas

  1. Best Answer

    Acontece que olhar para o gcp-types/cloudresourcemanager-v1:virtual.projects.iamMemberBindingtipo era uma pista falsa. Em vez disso, a solução é usar a accessControlpropriedade do iam.v1.serviceAccounttipo. Muito obrigado a esta resposta , que me apontou na direção certa.

    Em resumo, sua serviceAccount se torna algo assim:

    resources:
- name: test-name-deploy
  type: iam.v1.serviceAccount
  properties:
    accountId: testing
    displayName: testing-sa
  accessControl:
    gcpIamPolicy:
      bindings:
      - role: roles/iam.workloadIdentityUser
        members:
        - "serviceAccount:PROJECT_ID.svc.id.goog[K8S_NAMESPACE/KSA_NAME]"
    • 1

relate perguntas