docker - Docker 容器内推荐的 GCE 服务帐户身份验证？

Question

在自定义构建的 CentOS Docker 容器中部署 Google 服务帐户凭据以在 Google 的 Container Engine 或其“container-vm”上运行的最佳方式是什么？此行为在 google/cloud-sdk 上自动发生。容器，它运行 debian 并包含我不使用的东西，例如 app-eng/java/php。理想情况下，我正在尝试访问我的项目中的非公共(public)资源，例如 Google Cloud Storage 存储桶对象，而无需在每次启动大量这些容器时都登录和授权。

例如，在 GCE 上运行并安装了自定义代码和 gcloud/gsutil 的基本 Centos 容器上，当您运行时:

docker run --rm -ti custom-container gsutil ls

系统会提示您运行“gsutil config”以获得授权，这是我所期望的。

但是，将 google/cloud-sdk 容器拉下到同一个 GCE 上并执行相同的命令，它似乎巧妙地配置了凭据的继承(可能来自主机 container-vm 的凭据？)。在 GCE 上运行容器以访问私有(private)资源时，这似乎绕过了运行“gsutil config”。

我希望在最小构建 Centos 容器中复制该行为以进行大规模部署。

Answer 1

更新:自 2016 年 12 月 15 日起，更新现有 VM 范围的功能现在处于测试阶段；见 this SO answer了解更多详情。

---

旧答案:一种方法是使用 appropriate scopes 创建 VM (例如，Google Cloud Storage 只读或读写)，然后 VM 上的所有进程(包括容器)都可以访问他们可以通过 OAuth 2.0 使用的凭据；见文档 Google Cloud Storage和 Google Compute Engine .

请注意，一旦创建了具有某些范围集的 VM，以后就无法更改它们(既不添加也不删除)，因此您必须确保在创建 VM 实例时设置正确的范围集。