kubernetes - 从 GKE 上的 pod 访问 GCP Cloud DNS

Question

我正在调查这个letsencrypt Controller ( https://github.com/tazjin/kubernetes-letsencrypt )。

它要求 Pod 有权更改 Cloud DNS 中的记录。我以为在 GKE 上运行的 pod 可以使用默认服务帐户获得该访问权限，但请求失败。我需要做什么才能允许 Pod 访问 Cloud DNS？

Answer 1

Google Cloud DNS API 的 changes.create call需要 https://www.googleapis.com/auth/ndev.clouddns.readwrite或 https://www.googleapis.com/auth/cloud-platform范围，默认情况下在 GKE 集群上均未启用。

您可以添加新的 Node Pool通过运行以下命令到具有 DNS 范围的集群:

gcloud container node-pools create np1 --cluster my-cluster --scopes https://www.googleapis.com/auth/ndev.clouddns.readwrite

或者，您可以通过传递 --scopes 来创建具有所需范围的全新集群。标志到 gcloud container clusters create ，或在 New Cluster dialog在 Cloud Console 中，点击“更多”，并将必要的范围设置为“已启用”。