GKE용 Workload Identity Federation을 위한 GitLab 차트

  • GitLab 17.0에서 도입되었습니다.

차트의 외부 객체 저장소에 대한 기본 구성은 비밀키를 사용합니다. GKE를 위한 Workload Identity Federation은 단기 임시 토큰을 사용하여 Kubernetes 클러스터에 객체 저장소에 대한 액세스를 부여할 수 있도록 합니다. 기존 GKE 클러스터가 있는 경우, Workload Identity Federation을 사용하기 위해 노드 풀을 업데이트하는 방법에 대한 Google 문서를 읽으세요.

문제 해결

Kubernetes ServiceAccount가 IAM 서비스 계정에 연결되어 있는지 확인하세요 iam.gke.io/gcp-service-account 주석을 통해.

Toolbox 포드 내에서 메타데이터 엔드포인트를 쿼리하여 Workload Identity가 올바르게 구성되었는지 확인할 수 있습니다. 클러스터와 연결된 서비스 계정이 반환되어야 합니다:

$ curl -H "Metadata-Flavor: Google" http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/email
example@your-example-project.iam.gserviceaccount.com

이 계정은 다음 범위에도 액세스할 수 있어야 합니다:

$ curl -H "Metadata-Flavor: Google" http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/scopes
https://www.googleapis.com/auth/cloud-platform
https://www.googleapis.com/auth/userinfo.email