Предоставьте моду в кластере Kubernetes права доступа к хранилищу Google (RBAC / IAM)

Question

Я проводил некоторые исследования, но не смог найти ответ в документации K8s. Можно ли организовать, что определенные модули в кластере Kubernetes имеют доступ к другим определенным ресурсам за пределами кластера, не предоставляя разрешения всему кластеру?

Например: модуль обращается к данным из хранилища Google. Чтобы не жестко кодировать некоторые учетные данные, я хочу, чтобы он имел доступ к нему через RBAC / IAM, но с другой стороны, я не хочу, чтобы другой модуль в кластере имел доступ к тому же хранилищу.

Это необходимо, поскольку пользователи взаимодействуют с этими модулями, а данные в хранилищах имеют ограничения конфиденциальности.

Единственный способ, который я пока вижу, - создать учетную запись службы для этого ресурса и передать учетные данные учетной записи службы в модуль. Пока что я не очень доволен этим решением, поскольку передача учетных данных мне кажется небезопасной.

Answer 1

К сожалению, есть только один способ сделать это, и вы написали, что это выглядит небезопасно для вас. Я нашел пример в документации , и они используют способ, в котором вы храните учетные данные служебной учетной записи в секрете, а затем используете их в секретном модуле.