kubernetes/kops

Feature - Support GCP IAM Roles for Service Accounts

Open

#14.695 aperta il 30 nov 2022

Vedi su GitHub
 (4 commenti) (3 reazioni) (1 assegnatario)Go (4389 fork)batch import
area/provider/gcphelp wantedkind/feature

Metriche repository

Star
 (14.270 star)
Metriche merge PR
 (Merge medio 6g 14h) (69 PR mergiate in 30 g)

Descrizione

/kind feature

1. Describe IN DETAIL the feature/behavior/change you would like to see. GCP has support for IAM Roles using K8s service accounts, and I think it would be great if kOps could handle configuring this automatically. GKE Workload Identity docs.

kOps already supports AWS IAM Roles for service accounts docs. Example of kOps cluster spec stanza:

spec:
  serviceAccountIssuerDiscovery:
    discoveryStore: s3://publicly-readable-store
    enableAWSOIDCProvider: true

Ideally, I would define a similar stanza for serviceAccountIssuerDiscovery but with GCP specific values

spec:
  serviceAccountIssuerDiscovery:
    discoveryStore: gs://publicly-readable-store
    enableGCPOIDCProvider: true

I've also found gcp-workload-identity-federation-webhook which does the same things as amazon-eks-pod-identity-webhook. Maybe kOps can add that to addons as well.

FR for AWS IAM Role for Service accounts - https://github.com/kubernetes/kops/issues/8264

2. Feel free to provide a design supporting your feature request.

Guida contributor

Direzione di ricerca
Questa issue richiede ruoli IAM GCP per gli account di servizio, simili alla funzionalità AWS IRSA esistente. L'implementazione attuale è nella configurazione `serviceAccountIssuerDiscovery`. Per iniziare, esamina il codice AWS IRSA in kOps (ad esempio, `pkg/...` relativo alla scoperta degli account di servizio). La documentazione GKE Workload Identity collegata e il repository gcp workload identity federation webhook forniscono implementazioni di riferimento. L'assegnatario potrebbe già avere un design in mente; controlla i commenti per eventuali aggiornamenti. L'ambito prevede l'aggiunta di un provider OIDC GCP e potenzialmente un addon webhook.
Tech stack
go
Dominio
infrastructure
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-2 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
KubernetesGCP
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
60