如何在 Kubernetes pod 中指定 Google 服务帐户答案

【问题标题】：How to specify Google service account in Kubernetes pod如何在 Kubernetes pod 中指定 Google 服务帐户
【发布时间】：2019-11-08 05:01:11
【问题描述】：

我正在 Google Cloud Platform 上的 Kubernetes pod 中部署 Spring Boot 应用程序。

我不想在我们的 pod 中使用 Compute Engine 默认服务帐号。

我们如何以及在哪里可以为我们的 pod 指定一个 Google 服务帐户？

【问题讨论】：

标签： kubernetes google-cloud-platform google-kubernetes-engine kubernetes-pod

【解决方案1】：

假设您已经有一个 Role 和 RoleBinding 引用您的服务帐户，您需要做的就是创建一个具有适当服务帐户的上下文，如 here 所述

然后你就切换到这个上下文

kubectl config use-context default-context

有关如何管理上下文的更多详细信息，请查看documentation

【讨论】：

【解决方案2】：

本指南https://cloud.google.com/kubernetes-engine/docs/tutorials/authenticating-to-cloud-platform#step_5_configure_the_application_with_the_secret 帮助我设置了服务帐户。

【讨论】：

【解决方案3】：

Harold 建议将 pod 中的服务帐户凭据配置为机密是很好的，并且在很长一段时间内一直是推荐的方法。但是，Google 最近推出了Workload Identity，它允许您将 k8s 服务帐户与 GCP IAM 服务帐户关联，然后您可以使用该 k8s 服务帐户运行您的 pod，并使用它附带的 IAM 权限

【讨论】：