如何在 golang 中使用 kubernetes 服务帐户？答案

【问题标题】：How to use kubernetes service account with golang?如何在 golang 中使用 kubernetes 服务帐户？
【发布时间】：2023-01-19 06:13:41
【问题描述】：

实际上，我主要将 kubernetes 服务帐户与 NodeJS 一起使用，这工作正常，但我有一个用 Go 制作的服务，但我似乎无法使其与服务帐户一起使用（我知道服务帐户配置正确，因为我用吊舱测试它）。

我正在使用这个库https://github.com/aws/aws-sdk-go

到目前为止，我试过这个：

  sess := session.Must(session.NewSession())

  creds := stscreds.NewCredentials(sess, os.Getenv("AWS_ROLE_ARN"))

  svc := s3.New(sess, &aws.Config{Credentials: creds})

还有这个（以防万一）：

  region := os.Getenv("AMAZON_REGION")
  sess := session.Must(session.NewSession(&aws.Config{Region: &region}))

  svc := s3.New(sess)

对于第一种情况，我收到以下错误：

AccessDenied: User: arn:aws:sts::xxxxxxxx:assumed-role/staging-worker-node/i-0xxxxxxxxx is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::xxxxxxxx:role/EKSServiceAccount-app

对于第二种情况，我得到了一个通用的权限错误。

我阅读了文档并尝试了更多的东西（这里可能不相关），但我看不到让它工作，可能是因为我对 golang 没有太多经验。

【问题讨论】：

标签： amazon-web-services go kubernetes k8s-serviceaccount

【解决方案1】：

您可以尝试一些方法来让您的 Go 服务与 Kubernetes 上的服务帐户一起使用：

验证您的 Go 服务是否已正确配置为使用 Kubernetes 服务帐户。这可以通过检查服务帐户是否正确安装为 pod 定义中的卷以及服务是否能够从卷中读取凭据来完成。

确保您使用的适用于 Go 的 AWS 开发工具包 (https://github.com/aws/aws-sdk-go) 配置为使用正确的凭证。 SDK 支持多种提供凭证的方法，包括环境变量、共享凭证文件和 IAM 角色。

您可以尝试使用 k8s.io/client-go 库代替 Go 的 AWS SDK，这将帮助您使用 Kubernetes 服务帐户通过 Kubernetes API 进行身份验证并获取 AWS SDK 所需的凭据。

如果您使用 Kubernetes 服务帐户向 AWS 等外部服务进行身份验证，您可能还需要配置一个 IAM 角色，以允许服务帐户访问必要的资源。

仔细检查您的 Go 服务是否正确使用 Kubernetes 服务帐户令牌并将其作为身份验证令牌传递给 AWS SDK。

您也可以尝试使用 k8s.io/client-go 库来获取秘密并在您的 go 代码中使用它。

【讨论】：