google-cloud-platform - 即使在授予“服务帐户令牌创建者”角色后也无法模拟 GCP ServiceAccount
问题描述
我的 Google Cloud Platform (GCP) 项目中有 2 个 ServiceAccounts
- 所有者
- 执行人
所有者 ServiceAccount 附加了 1 个项目范围的角色:
- “所有者” - 为项目
执行者 ServiceAccount 只附加了 2 个特定角色(如下所示):
- “服务帐户令牌创建者” - 在所有者 ServiceAccount 上
- “服务帐户用户” - 在所有者 ServiceAccount 上
现在,我有一个 Executor ServiceAccount 的 JSON 密钥文件。我将使用该凭据文件来“模拟”所有者 ServiceAccount。然后我将运行gcloud
命令。
这就是我正在做的事情。
#!/bin/bash
# --------------------------------------------------------------
export GOOGLE_APPLICATION_CREDENTIALS="$(pwd)/my-executor-sa-key.json"
echo $GOOGLE_APPLICATION_CREDENTIALS
cat $GOOGLE_APPLICATION_CREDENTIALS
OWNER_EMAIL="owner@my-gcp-project.iam.gserviceaccount.com"
echo $OWNER_EMAIL
# --------------------------------------------------------------
CLUSTER="my-k8s-cluster"
ZONE="asia-east1-a"
PROJECT="my-gcp-project"
MY_COMMAND="gcloud container clusters get-credentials ${CLUSTER} --zone ${ZONE} --project ${PROJECT} --impersonate-service-account=${OWNER_EMAIL}"
echo $MY_COMMAND
# --------------------------------------------------------------
`$MY_COMMAND`
# --------------------------------------------------------------
运行上述内容后,这是我得到的输出
# --------------------------------------------------------------
/Users/rakib/tmp/my-executor-sa-key.json
{
"type": "service_account",
"project_id": "my-gcp-project",
"private_key_id": "3208--------------------------------5d63",
"private_key": "-----BEGIN PRIVATE KEY-----\nMIIEv\n----\nEAE9S\n-----END PRIVATE KEY-----\n",
"client_email": "executor@my-gcp-project.iam.gserviceaccount.com",
"client_id": "1099--------------5533",
"auth_uri": "https://accounts.google.com/o/oauth2/auth",
"token_uri": "https://oauth2.googleapis.com/token",
"auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
"client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/executor%40my-gcp-project.iam.gserviceaccount.com"
}
owner@my-gcp-project.iam.gserviceaccount.com
# --------------------------------------------------------------
gcloud container clusters get-credentials my-k8s-cluster --zone asia-east1-a --project my-gcp-project --impersonate-service-account=owner@my-gcp-project.iam.gserviceaccount.com
# --------------------------------------------------------------
WARNING: This command is using service account impersonation. All API calls will be executed as [owner@my-gcp-project.iam.gserviceaccount.com].
ERROR: (gcloud.container.clusters.get-credentials) Failed to impersonate [owner@my-gcp-project.iam.gserviceaccount.com]. Make sure the account that's trying to impersonate it has access to the service account itself and the "roles/iam.serviceAccountTokenCreator" role.
我在这里想念什么?我确实已授予 Executor ServiceAccount 与roles/iam.serviceAccountTokenCreator
Owner ServiceAccount 的角色。
那为什么不能冒充呢?
解决方案
原来,我需要添加gcloud auth activate-service-account --key-file=$GOOGLE_APPLICATION_CREDENTIALS
命令(更多细节在这里)。对于CLI 工具,仅设置$GOOGLE_APPLICATION_CREDENTIALS
环境变量是不够的。gcloud
一直以来,我都知道有 ServiceAccount 路径$GOOGLE_APPLICATION_CREDENTIALS
就足够了。在我阅读的任何地方,我都看到ADC用于$GOOGLE_APPLICATION_CREDENTIALS
此目的:
- https://cloud.google.com/docs/authentication/production#automatically
- https://cloud.google.com/docs/authentication/getting-started#setting_the_environment_variable
- ETC
然而,原来gcloud
不使用ADC。ADC 仅由 C#、Java、Python、Go、Ruby 等客户端库使用。
我在谷歌的问题跟踪器中为谷歌提交了一个新案例,以帮助改进他们的文档以避免混淆/混淆。
推荐阅读
- java - 在 Spring-Boot-Web / Tomcat 中有条件地禁用 JSESSIONID
- c - 打印时 C 程序中的意外输出
- linux - 2 powermta 服务上的警告错误
- php - 如何使用 ajax 在 CodeIgniter 的自动完成中选择多个值
- swift - 没有返回的异步/等待函数 | 斯威夫特 5.5
- vba - 对 Web 服务的请求的 VBA 问题(请求被中止:连接意外关闭)
- python - 我想输入一个字典作为类型字典
- google-sheets - 在 Google 表格中拆分单元格数据
- java - 表单数据发布请求android studio
- reactjs - 在同一类别中更改 Google 字体不会更新