GKE 对一个 CloudSQL 实例使用多个集群

Question

我有一个使用 CloudSQL 进行了一年多的暂存集群，现在我想启动另一个 GKE 集群（同一个谷歌项目），指向同一个数据库进行测试。但是，尝试在新集群中使用旧集群中的 credentials.json 时，我看到了错误。

googleapi: Error 403: The client is not authorized to make this request., notAuthorized" 

我在 IAM 上四处寻找一种方法来打开新集群的权限，但即使我看到一个具有“Cloud SQL 客户端”角色的服务帐户，也没有找到方法。

共享凭据或打开权限的正确方法是什么（或者我需要为此创建一个新的服务帐户）？

我们的模板部署 yaml 看起来像：

  - name: postgres-proxy
    image: gcr.io/cloudsql-docker/gce-proxy:1.09
    imagePullPolicy: Always
    command: ["/cloud_sql_proxy",
              "--dir=/cloudsql",
              "-instances=@@PROJECT@@:us-central1:@@DBINST@@=tcp:5432",
              "-credential_file=/secrets/cloudsql/credentials.json"]
    volumeMounts:
      - name: cloudsql-oauth-credentials
        mountPath: /secrets/cloudsql
        readOnly: true
      - name: ssl-certs
        mountPath: /etc/ssl/certs
      - name: cloudsql
        mountPath: /cloudsql

Answer 1

当您从某些 Google API 收到错误 403 时，会出现 IAM 权限错误。要解决此问题，请确保将“Cloud SQL 客户端”角色分配给您的服务帐号。要检查向您的服务帐户添加了哪些权限，请转到 Cloud Project IAM 页面（左侧菜单 > IAM & Admin > IAM）并查找存在问题的服务帐户所在的行。服务帐户应在“角色”列上显示“Cloud SQL 客户端”。

如果您发现“Cloud SQL Client”角色未添加到服务帐户，请尝试按照this document 中的说明进行操作。如果服务帐户尚未在成员列表中，则不会为其分配任何角色。单击添加并输入服务帐户的电子邮件地址。如果服务帐户已在成员列表中，则它具有现有角色。单击要编辑的服务帐户的“角色”下的下拉列表，或者您可以将“Cloud SQL 客户端”角色作为附加角色添加到服务帐户。您需要从“Cloud SQL”下的下拉列表中选择“Cloud SQL Client”角色。

如果您看到“Cloud SQL 客户端”角色已存在，请单击编辑以打开下拉列表。之后点击删除并保存。请确保服务帐户已从 IAM 页面中删除。单击 Cloud Project IAM 页面顶部的添加按钮。输入服务帐户电子邮件地址，然后从“Cloud SQL”下的下拉列表中选择“Cloud SQL Client”角色。之后单击“保存”按钮，服务帐户应再次出现在列表下方。有了这个，我们将删除然后再次添加服务帐户的权限。

您还可以尝试添加this document 中所述的新服务帐户，并从“Cloud SQL”下的下拉列表中选择“Cloud SQL Client”角色。请注意，您需要“服务帐户管理员”角色或“编辑”原语角色来执行操作。

如果仍然无法解决问题，请确保“Cloud SQL 实例”名称正确。您可以从 Cloud SQL 实例的 Google Cloud Console 页面复制并粘贴“实例连接名称”，如 StackOverflow issue 中所述。

或者by updating the secret to use the right key 你可以解决这个问题。您可以为服务帐户创建多个密钥。

Answer 2

GKE 当前支持私有 IP 地址连接。如果您在同一区域中并且集群启用了 IP 别名，则可以连接到云 sql 集群。