google-cloud-platform - GKE 使用什么服务帐号访问 GCR

Question

Google Cloud Platform (GCP) 项目 ( $GKE_CLUSTER ) 中的 Google Kubernetes Engine (GKE) 集群之一 ( $GCP_PROJECT ) 似乎是 无法 至 pull来自 Google Container Registry (GCR) 的 Docker 镜像:

kubectl config current-context

#=>

$GKE_CLUSTER

和:

kubectl get pods --namespace=$NAMESPACE

#=>

NAME        READY   STATUS             RESTARTS   AGE 
. . .       . . .   . . .              . . .      . . .
$SOME_POD   0/1     ImagePullBackOff   0          1m
. . .       . . .   . . .              . . .      . . .

和:

kubectl get events \
--field-selector involvedObject.name=$SOME_POD \
--namespace=$NAMESPACE

#=>

LAST SEEN   TYPE     REASON    OBJECT          MESSAGE
. . .       . . .    . . .     . . .           . . .
1m          Normal   BackOff   pod/$SOME_POD   Back-off pulling image "$SOME_IMAGE"
. . .       . . .    . . .     . . .           . . .

在哪里:

$SOME_POD格式为:deployment-replicaSet-pod

$SOME_IMAGE格式为:us.gcr.io/$GCP_PROJECT/name:tag

仅列出 $GCP_PROJECT 的服务帐户给出:

gcloud projects get-iam-policy $GCP_PROJECT \
--filter="serviceAccount" \
--flatten="bindings[].members" \
--format="value(bindings.members.split(':').slice(1:).flatten())"

#=>

XXXXXXXXXXXX-compute@developer.gserviceaccount.com
XXXXXXXXXXXX@cloudbuild.gserviceaccount.com 
XXXXXXXXXXXX@cloudservices.gserviceaccount.com  
service-XXXXXXXXXXXX@compute-system.iam.gserviceaccount.com
service-XXXXXXXXXXXX@container-engine-robot.iam.gserviceaccount.com
service-XXXXXXXXXXXX@containerregistry.iam.gserviceaccount.com  
service-XXXXXXXXXXXX@dlp-api.iam.gserviceaccount.com    
service-XXXXXXXXXXXX@gcf-admin-robot.iam.gserviceaccount.com
PPPPPPPPPPPP@appspot.gserviceaccount.com

GKE 使用以下哪个服务帐户来访问由 GCR 托管的 Docker 镜像？

Answer 1

每个 GKE 节点都有一个与之关联的 IAM 服务帐户。默认情况下，节点会获得 Compute Engine 默认服务帐号，您可以通过导航到 Cloud Console 的 IAM 部分找到该帐号。

如果您使用的是非默认 Compute Engine 服务帐号，您可能需要在项目中授予服务帐号角色角色/storage.objectViewer 角色。查询 this link想要查询更多的信息。