使用服务账号进行身份验证

控制台

1. 登录 GDC 控制台。
2. 在导航菜单中，选择身份和访问权限 > 服务身份。
3. 点击add创建服务身份。 系统会打开服务身份详情页面。
4. 在服务身份名称字段中，输入服务身份的名称。例如：testserviceidentity。
5. 点击创建。

gdcloud

创建服务身份：

gdcloud iam service-accounts create NAME \
    --project=PROJECT

替换以下值：

• NAME：ProjectServiceAccount 的名称。该名称在项目命名空间中必须是唯一的。
• PROJECT：要在其中创建服务身份的项目。如果已设置 gdcloud init，请省略 --project 标志。

此命令会在管理 API 服务器上的项目命名空间中创建 ProjectServiceAccount。

API

1. 创建 ProjectServiceAccount 自定义资源 YAML 文件，例如 my-project-sa.yaml：

   apiVersion: resourcemanager.global.gdc.goog/v1
   kind: ProjectServiceAccount
   metadata:
     name: NAME
     namespace: PROJECT
   spec:
     keys:
     - algorithm: ALGORITHM
     id: KEY_ID
     key: KEY
     validAfter: "START_TIME"
     validBefore: "EXPIRATION_TIME"
   

   执行以下变量替换操作：

   • NAME：ProjectServiceAccount 资源的名称。该名称在项目命名空间中必须是唯一的。
   • PROJECT：要在其中创建服务身份的项目。
   • ALGORITHM：密钥的算法。仅支持 ES256 密钥。
   • KEY_ID：密钥的唯一标识符。该 ID 用于确定要使用哪个密钥进行验证。
   • KEY：用于验证的 base64 编码公钥。
   • START_TIME：密钥生效的开始时间，例如 2025-02-07T00:59:34Z。
   • EXPIRATION_TIME：密钥的过期时间，例如 2026-02-07T00:59:34Z。

2. 将 ProjectServiceAccount 自定义资源应用于全局 API 服务器：

   kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG apply -f my-project-sa.yaml
   

   将 GLOBAL_API_SERVER_KUBECONFIG 变量替换为全局 API 服务器的 kubeconfig 文件的路径。

控制台

1. 登录 GDC 控制台。
2. 选择一个项目。
3. 在导航菜单中，依次点击身份和访问权限 > 服务身份，查看项目的服务账号列表。

gdcloud

列出项目中的服务账号：

gdcloud iam service-accounts list \
    --project=PROJECT

控制台

1. 登录 GDC 控制台。
2. 选择一个项目。
3. 在导航菜单中，依次选择身份和访问权限 > 访问权限。
4. 在成员列表中，点击 add 添加成员。 系统会显示用户和角色页面。
5. 在成员类型列表中选择服务身份。
6. 在服务身份列表中，选择要为其分配角色绑定的服务身份。
7. 在角色列表中，选择要分配给服务身份的角色，例如 Backup Creator。
8. 可选：如需添加其他角色，请点击 add 添加其他角色。 选择其他角色。
9. 点击添加。

gdcloud

此命令会创建并命名项目角色绑定，以将指定角色与管理 API 服务器上的 ProjectServiceAccount 绑定：

gdcloud iam service-accounts add-iam-policy-binding \
    --project=PROJECT \
    --role=ROLE \
    --role-namespace=ROLE_NAMESPACE \
    --iam-account=NAME

替换以下值：

• PROJECT：要在其中创建角色绑定的项目。 如果已设置 gdcloud init，则可以省略 --project 标志。
• ROLE：要分配给 ProjectServiceAccount 的预定义角色。以 Role/name 格式指定角色，其中角色是 Kubernetes 类型 IAMRole，名称是预定义角色的名称。例如，如需分配 Project Viewer 角色，请将角色设置为 IAMRole/project-viewer。
• ROLE_NAMESPACE：要与服务账号绑定的角色的命名空间。仅当您的宇宙包含多个可用区时，此操作才适用。
• NAME：要使用的服务身份的名称。

控制台

1. 登录 GDC 控制台。
2. 在导航菜单中，依次选择身份和访问权限 > 服务身份。
3. 选中要删除的服务身份对应的复选框。
4. 点击删除。
5. 系统会显示确认对话框。在请在下面输入以下内容进行确认字段中，输入 remove。
6. 点击删除。

gdcloud

运行以下命令可删除服务身份：

gdcloud iam service-accounts delete NAME \
    --project=PROJECT

控制台

1. 登录 GDC 控制台。
2. 在导航菜单中，依次选择身份和访问权限 > 服务身份。
3. 点击要在密钥中添加的服务身份的名称。
4. 点击add创建新密钥。
5. 新密钥会显示在密钥列表中，并且系统会显示一个对话框，确认您已成功创建密钥。

gdcloud

此命令会创建应用默认凭据 JSON 文件以及公钥和私钥对：

gdcloud iam service-accounts keys create APPLICATION_DEFAULT_CREDENTIALS_FILENAME \
    --project=PROJECT \
    --iam-account=NAME \
    --ca-cert-path=CA_CERTIFICATE_PATH

替换以下值：

• APPLICATION_DEFAULT_CREDENTIALS_FILENAME：JSON 文件的名称。
• PROJECT：选择要为其创建密钥的项目。 如果已设置 gdcloud init，则可以省略 --project 标志。
• NAME：要为其添加密钥的服务身份的名称。
• CA_CERTIFICATE_PATH：可选：用于验证身份验证端点的证书授权机构 (CA) 证书路径。 如果您未指定此路径，系统将使用系统 CA 证书。 您必须在系统 CA 证书中安装 CA。

Distributed Cloud 会将公钥添加到您用于验证私钥签名的 JSON Web 令牌 (JWT) 的密钥中。ProjectServiceAccount私钥会写入应用默认凭据 JSON 文件。

以下示例展示了应用默认凭据 JSON 文件：

{
"type": "gdch_service_account",
"format_version": "1",
"project": "project_name",
"private_key_id": "abcdef1234567890",
"private_key": "-----BEGIN RSA PRIVATE KEY-----\nETC\n-----END RSA PRIVATE KEY-----\n",
"name": "service_identity_name",
"ca_cert_path": "service_identity_name",
"token_uri": "https://service-identity.<Domain>/authenticate"
}

此示例使用以下值：

• project：组织中的项目命名空间。
• private_key_id：分配给密钥的 ID。
• private_key：CLI 生成的私钥。
• name：服务身份的名称。
• token_uri：身份验证端点的地址。

控制台

1. 登录 GDC 控制台。
2. 在导航菜单中，依次选择身份和访问权限 > 服务身份。
3. 点击包含要删除的密钥的服务身份的名称。
4. 点击delete删除。
5. 在确认对话框中点击删除。

gdcloud

从项目中的特定 ProjectServiceAccount 中移除具有相应密钥 ID 的公钥：

gdcloud iam service-accounts keys delete KEY_ID \
    --project=PROJECT \
    --iam-account=NAME