无法从 GKE 访问数据存储资源

Question

我在 GKE 中部署了一个应用程序，它对数据存储进行后端调用以对托管 gke 的服务帐户执行 crud operations.Added 云数据存储所有者角色。

当我请求任何调用后端数据存储的端点时，我遇到了异常：

com.google.cloud.datastore.DatastoreException: Unauthenticated. at com.google.cloud.datastore.spi.v1.HttpDatastoreRpc.translate(HttpDatastoreRpc.java:138) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.spi.v1.HttpDatastoreRpc.translate(HttpDatastoreRpc.java:123) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.spi.v1.HttpDatastoreRpc.lookup(HttpDatastoreRpc.java:173) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl.call(DatastoreImpl.java:416) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl.call(DatastoreImpl.java:413) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.api.gax.retrying.DirectRetryingExecutor.submit(DirectRetryingExecutor.java:105) ~[gax-1.58.2.jar:1.58.2] at com.google.cloud.RetryHelper.run(RetryHelper.java:76) ~[google-cloud-core-1.93.9.jar:1.93.9] at com.google.cloud.RetryHelper.runWithRetries(RetryHelper.java:50) ~[google-cloud-core-1.93.9.jar:1.93.9] at com.google.cloud.datastore.DatastoreImpl.lookup(DatastoreImpl.java:412) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl$ResultsIterator.loadResults(DatastoreImpl.java:387) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl$ResultsIterator.<init>(DatastoreImpl.java:383) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl.get(DatastoreImpl.java:373) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl.get(DatastoreImpl.java:336) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreHelper.fetch(DatastoreHelper.java:73) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at com.google.cloud.datastore.DatastoreImpl.fetch(DatastoreImpl.java:353) ~[google-cloud-datastore-1.105.0.jar:1.105.0] at org.springframework.cloud.gcp.data.datastore.core.DatastoreTemplate.findAllById(DatastoreTemplate.java:249)

我注意到的一件事是，当应用程序启动时，它使用默认的计算引擎凭据进行身份验证

我不确定如何解决这个问题，搜索了几个解决方案后发现我们需要在 deployment.yaml

中添加 GOOGLE_APPLICATION_CREDENTIALS env 变量

spec:
 containers:
 - name: app
   image: eu.gcr.io/google_project_id/springapplication:v1
   volumeMounts:
   - name: google-cloud-key
     mountPath: /var/secrets/google
   env:
   - name: GOOGLE_APPLICATION_CREDENTIALS
     value: /var/secrets/google/credentials.json
   ports:
   - name: http-server
     containerPort: 8080
 volumes:
 - name: google-cloud-key
   secret:
     secretName: app-key

这是正确的方法吗，因为凭据文件是机密文件，我们将其存储在理想的位置（我正在使用 Jenkins 部署应用程序）

有人请指导我.....

Answer 1

这是节点级别权限的问题。当您创建集群和节点池时，您可以选择节点的安全性。并且您可以明确允许或拒绝对某些 API 的访问，例如 Datastore。默认情况下，Datastore 处于禁用状态。

您可以在组成您的 GKE 集群的计算引擎中进行检查：

如果您不想删除您的集群，您需要创建一个新的节点池，迁移您的 pod 并删除旧的节点池。

旁注。不要你服务帐户密钥文件。我建议您使用 workload identity 以获得更好的安全性

无法从 GKE 访问数据存储资源

Not able to access Datastore Resources from GKE

google-compute-engine

google-cloud-datastore

spring-boot

google-cloud-platform

google-kubernetes-engine