amazon-web-services - 将 AWS IAM 角色授予在 GKE (Google Kubernetes Engine) 中运行的 pod

Question

我想将一个 pod 从 AWS 托管的 K8s 集群移动到 GKE (Google)。问题是在 GKE 实例上我没有 AWS 元数据来承担 IAM 角色（显然）。但我想我可以做一些类似于kube2iam的事情，以便让 pod 承担角色，就好像它们在 AWS 中运行一样。意思是，运行一个 daemonset 来模拟对 pod 元数据的访问。我已经在云之间设置了 VPN。

有人已经这样做了吗？

标签： amazon-web-serviceskubernetesamazon-iamgoogle-kubernetes-engine

Answer 1

我还没有尝试过。但请记住，在 GKE 中，IAM 角色与账户（用户账户/服务账户）相关联，而不是与资源（pod/节点）相关联。

此外，kube2iam 看起来更像是一个安全解决方案，而不是一个兼容性解决方案。从 kube2iam 节点获得凭据后，您仍然会遇到兼容性问题。

我认为更好的解决方案是使用API调用并处理身份验证。