google-kubernetes-engine - 使用 GKE Workload Identity 时出现 MetadataServerException

Question

我正在尝试启用 Workload Identity在我的集群上，但从 pod 测试时出现以下错误:

root@workload-identity-test:/# gcloud auth list
ERROR: gcloud crashed (MetadataServerException): HTTP Error 500: Internal Server Error

If you would like to report this issue, please run the following command:
  gcloud feedback

To check gcloud for common problems, please run the following command:
  gcloud info --run-diagnostics

我已启用 workload-metadata-from-node :

gcloud beta container node-pools update NAME --cluster NAME --workload-metadata-from-node=GKE_METADATA_SERVER
Updating node pool main...done.

即使我添加 --log-http对于命令，它似乎没有显示返回 500 的请求(也不重要的是，它的响应)。

有任何想法吗？ (我在新集群上遇到同样的错误)

Answer 1

更新 从那以后，我就可以使用workloadIdentityUser 来完成这项工作。我建议遵循 John's Answer 中概述的删除-重新创建提示如果您仍然遇到问题。

基于 gke-metadata-xxxx 记录的错误运行测试的节点上的 pod，我需要使用 roles/iam.serviceAccountTokenCreator而不是 roles/iam.workloadIdentityUser在上面链接的教程中建议。

这允许我按预期使用该功能，但是因为角色是 not documented我不确定通过进行此切换我可能授予了哪些额外的权限。