Передайте роль AWS IAM модулю, работающему в GKE (Google Kubernetes Engine)

Question

Я хотел бы переместить модуль из кластера K8s, размещенного на AWS, в GKE (Google).Проблема заключается в том, что в экземпляре GKE у меня нет метаданных AWS, чтобы выполнять роль IAM (очевидно).Но я думаю, что могу сделать что-то похожее на kube2iam , чтобы модули могли выполнять роли, как если бы они работали внутри AWS.Это означает запуск демона, который имитирует доступ к метаданным для модулей.Я уже настроил VPN между облаками.

Кто-нибудь уже делал это?

Answer 1

Я еще не пробовал.Но имейте в виду, что в GKE роли IAM связаны с учетными записями (учетными записями пользователей / учетными записями служб), а не с ресурсами (под / узлами).

Кроме того, kube2iam больше похож на решение для обеспечения безопасности, чем на совместимостьрешение.Если у вас есть учетные данные с узла kube2iam, у вас все еще есть проблемы с совместимостью.

Я думаю, что лучшим решением будет использование вызовов API и проверка подлинности.