无法授予对 GCE 实例的只读 GCR 访问权限

Question

我有：

• 服务帐户
• 使用该服务的 GCE 实例 帐户
• 上传到 GCR 的容器映像

我似乎无法授予对该实例的只读 GCR 访问权限。所有资源都在同一项目中。我尝试将storage.admin和storage.objectViewer角色授予服务帐户，并且在每种情况下访问容器注册表都会导致https://eu.gcr.io/v2/<project>/<image>/manifests/latest: 401 Unauthorized。

我读过的所有文档都说我需要在该区域的 GCR 存储桶上授予storage-rw范围和storage.objectViewer，所有这些都是我拥有的。

我正在使用Terraform配置所有这些。您如何使用 Terraform 配置 GCR 对服务帐号的访问权限？

这是我的代码：

locals {
gcr-region = "eu"
}
resource "google_service_account" "service_account" {
account_id = "k3s-master"
display_name = "k3s-master"
}
resource "google_project_iam_member" "project" {
role    = "roles/logging.logWriter"
member = "serviceAccount:${google_service_account.service_account.email}"
}
resource "google_compute_instance" "instance" {
name = "${var.service_name}"
machine_type = "f1-micro"
allow_stopping_for_update = true
service_account {
email = "${google_service_account.service_account.email}"
scopes = [
"storage-rw",
"https://www.googleapis.com/auth/cloud-platform",
"https://www.googleapis.com/auth/compute",
]
}
boot_disk {
initialize_params {
image = "debian-9"
}
}
network_interface {
network = "${google_compute_network.k3s-network.self_link}"
access_config { }
}
}
resource "google_storage_bucket_iam_binding" "eu-binding" {
bucket     = "eu.artifacts.${var.project}.appspot.com"
role        = "roles/storage.objectViewer"
members = [
"serviceAccount:${google_service_account.service_account.email}",
]
}
resource "google_storage_bucket_iam_binding" "binding" {
bucket     = "${var.project}.appspot.com"
role        = "roles/storage.objectViewer"
members = [
"serviceAccount:${google_service_account.service_account.email}",
]
}

Answer 1

是的，这完全是另一回事。

为了进一步调试，我使用了计算实例中的curl和gsutil，发现可以访问底层存储桶。

我在所涉及的实例上运行k3s，需要将其显式配置为使用服务帐户向 GCR 进行身份验证(即使计算实例在同一服务帐户下运行，这仍然是必需的(。

因此，kubectl create secret docker-registry ...后为我正在使用的(kubernetes(服务帐户设置imagePullSecrets修复了它。有关这方面的更多详细信息，请点击此处。