是否需要重新创建 Google Container Engine 集群来修改 API 权限？

Question

阅读完前面的问题后，我有一些后续问题。我有一个缺少 Cloud Monitoring API 访问权限的 Google Container Engine 集群。根据这篇文章，我无法启用它。

引用的帖子已有一年历史。只是为了确定：它仍然正确吗？要为我的 GKE 集群启用（例如）Cloud Monitoring API，我们必须重新创建整个集群，因为在集群创建后无法更改这些权限？

此外，如果我必须这样做，在我看来，最好以尽可能广泛的权限启用所有 API，以防万一我想在我的生产集群上开始使用其中一个在使用中时我不能很好地取下整个东西然后重新创建它。这种方法有什么缺点吗？

Answer 1

您可以保留相同的集群，但使用您需要的新范围创建一个新的节点池（然后删除旧的“默认”节点池）：

gcloud container node-pools create new-np --cluster $CLUSTER --scopes monitoring

启用所有权限的缺点是如果您在许多不同的地方使用相同的服务帐户。例如，如果我service-account-1需要从此 GKE 集群访问 Cloud Monitoring，但它也在不相关的 GCE 虚拟机上使用，我可能不希望该 GCE 虚拟机访问我的 Cloud Monitoring 数据。