kubernetes/kops

Feature - Support GCP IAM Roles for Service Accounts

Open

#14.695 aberto em 30 de nov. de 2022

Ver no GitHub
 (4 comments) (3 reactions) (1 assignee)Go (4.389 forks)batch import
area/provider/gcphelp wantedkind/feature

Métricas do repositório

Stars
 (14.270 stars)
Métricas de merge de PR
 (Mesclagem média 6d 14h) (69 fundiu PRs em 30d)

Description

/kind feature

1. Describe IN DETAIL the feature/behavior/change you would like to see. GCP has support for IAM Roles using K8s service accounts, and I think it would be great if kOps could handle configuring this automatically. GKE Workload Identity docs.

kOps already supports AWS IAM Roles for service accounts docs. Example of kOps cluster spec stanza:

spec:
  serviceAccountIssuerDiscovery:
    discoveryStore: s3://publicly-readable-store
    enableAWSOIDCProvider: true

Ideally, I would define a similar stanza for serviceAccountIssuerDiscovery but with GCP specific values

spec:
  serviceAccountIssuerDiscovery:
    discoveryStore: gs://publicly-readable-store
    enableGCPOIDCProvider: true

I've also found gcp-workload-identity-federation-webhook which does the same things as amazon-eks-pod-identity-webhook. Maybe kOps can add that to addons as well.

FR for AWS IAM Role for Service accounts - https://github.com/kubernetes/kops/issues/8264

2. Feel free to provide a design supporting your feature request.

Guia do colaborador

Direção de pesquisa
Esta issue solicita funções IAM do GCP para contas de serviço, semelhante ao recurso AWS IRSA existente. A implementação atual está na configuração `serviceAccountIssuerDiscovery`. Para começar, examine o código AWS IRSA no kOps (por exemplo, `pkg/...` relacionado à descoberta de contas de serviço). A documentação vinculada do GKE Workload Identity e o repositório gcp workload identity federation webhook fornecem implementações de referência. O responsável pode já ter um design em mente; verifique os comentários para quaisquer atualizações. O escopo envolve adicionar um provedor OIDC do GCP e potencialmente um addon de webhook.
Pilha de tecnologia
go
Domain
infrastructure
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-2 dias
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
KubernetesGCP
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
60