无法将 Kubeflow 管道部署到 GKE 集群答案

【问题标题】：Not able to deploy Kubeflow pipelines to GKE cluster无法将 Kubeflow 管道部署到 GKE 集群
【发布时间】：2021-02-25 13:33:14
【问题描述】：

我根据 Kubeflow Pipelines 的要求 (https://cloud.google.com/ai-platform/pipelines/docs/configure-gke-cluster) 创建了一个 GKE 集群，如下所示：

3 个节点，至少 4GB 内存和两个 CPU
具有以下角色的自定义服务帐户：logging.logWriter、monitoring.metricWriter、monitoring.viewer、storage.objectViewer

当尝试在 Kubeflow Pipelines（来自 Marketplace）配置中选择集群时，它显示“OAuth 范围不足”。

我想也许我忽略了一个重要步骤，所以我尝试从 Kubeflow Pipelines 配置页面创建一个新集群。尝试选择此集群时，它仍然显示“OAuth Scopes 不足”。

是否需要向服务帐号添加更多角色？

【问题讨论】：

你好。由于文档中显示了多种方法，您能否提供您所遵循的确切步骤？您是否使用脚本创建此服务帐户？在Nodes -> node-pool-> Security 部分创建GKE 集群时，您是否使用过此帐户？此集群中是否有任何node-pools不使用此服务帐户？
我按照粒度访问的步骤进行操作，唯一的区别是我们使用 terraform 来完成。 cloud.google.com/ai-platform/pipelines/docs/…。此外，服务帐户列在 Nodes->node-pool->Security 下。请注意，如果您让 Kubeflow Pipelines 设置（来自市场）为您创建集群，也会发生同样的事情。重现步骤：让设置创建集群，重新加载设置页面。您现在将看到创建的集群不合格。

【解决方案1】：

事实证明，除了服务帐户之外，您还需要为节点池配置 oauth-scope https://www.googleapis.com/auth/cloud-platform 以进行精细访问。 oauth-scope 允许访问“所有内容”，但访问受限于服务帐户的 IAM 角色。

文档可能会更清楚。

【讨论】：