Google Kubernetes Engine 上的 Firebase 授权

Question

我无法在 Docker 容器中使用 Python Firebase Admin SDK，特别是在 Google Kubernetes Engine (GKE) 上。同样的容器在Cloud Run上没有问题。我相信问题出在权限上，但我已经陷入困境。任何帮助，将不胜感激！

这是 Flask 应用程序的概要。所有三个路线都可以在 Cloud Run 上运行，前两个路线可以在 GKE 上运行，第三个路线则失败。

# realtime database address 
dbAddress = 'https://[projectID].firebaseio.com/'

# initialize the firebase SDK
credentials = None # the service account should provide the credentials
firebase_admin.initialize_app(credentials,{'databaseURL': dbAddress})

@app.route('/')
def hello_world(): # works on cloud run and GKE
    print('Hello, World print statement!')
    return 'Hello, World!'

@app.route('/simplepost', methods = ['POST'])
def simple_post():# works on cloud run and GKE
    content = request.get_json()
    return {'results': content}, 201

@app.route('/firepost', methods = ['POST'])
def fire_post(): # works on cloud run. FAILS ON GKE!
    jobRef = db.reference('jobs/').push()
    return {'results': jobRef.path}, 201

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=int(os.environ.get('PORT', 8080)))

带有容器的仓库（需要您自己的 firebase 项目）： https ://github.com/crispyDyne/GKE-py-fire

GKE 控制台出现错误：

Traceback (most recent call last):
  File "/usr/local/lib/python3.8/site-packages/firebase_admin/db.py", line 943, in request
    return super(_Client, self).request(method, url, **kwargs)
  File "/usr/local/lib/python3.8/site-packages/firebase_admin/_http_client.py", line 117, in request
    resp.raise_for_status()
  File "/usr/local/lib/python3.8/site-packages/requests/models.py", line 941, in raise_for_status
    raise HTTPError(http_error_msg, response=self)
requests.exceptions.HTTPError: 401 Client Error: Unauthorized for url: https://[projectName].firebaseio.com/jobs.json

我尝试通过“工作负载身份”解决权限问题，但没有成功。

当我创建 GKE 集群时，我为具有“所有者”角色的节点池设置了一个服务帐户（应该是多余的）。在集群安全性下，我选择“启用工作负载身份”复选框。

然后，我使用以下说明配置 Kubernetes 服务帐户： https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity#gcloud_1

我从容器注册表部署工作负载，并使用外部负载均衡器（端口：80，目标端口：8080）公开它。前两条路线工作正常，但第三条路线失败了。当部署在 Cloud Run 上时，这三者都可以正常工作。

希望我正在做一些愚蠢的事情，这是一个简单的修复！干杯!

Answer 1

经过很多挣扎，我想我已经明白了。以下是创建集群、部署容器以及最终在 Pod 中使用正确的应用程序默认凭据的三种方法。

1. Workload Identity（基本上是这篇Workload Identity 文章，添加了一些部署细节）

此方法是首选方法，因为它允许集群中的每个 pod 部署仅被授予其所需的权限。

使用的 googleServiceAccount 需要分配适当的角色（见下文）。

创建集群（注意：未定义范围或服务帐户）

gcloud beta container clusters create {cluster-name} \
  --release-channel regular \
  --identity-namespace {projectID}.svc.id.goog

然后创建 k8sServiceAccount、分配角色并进行注释。

gcloud container clusters get-credentials {cluster-name}

kubectl create serviceaccount --namespace default {k8sServiceAccount}

gcloud iam service-accounts add-iam-policy-binding \
  --member serviceAccount:{projectID}.svc.id.goog[default/{k8sServiceAccount}] \
  --role roles/iam.workloadIdentityUser \
  {googleServiceAccount}

kubectl annotate serviceaccount \
  --namespace default \
  {k8sServiceAccount} \
  iam.gke.io/gcp-service-account=$3

然后我创建部署并设置 k8sServiceAccount。（设置服务帐户是我缺少的部分）

kubectl create deployment {deployment-name} --image={containerImageURL}
kubectl set serviceaccount deployment {deployment-name} {k8sServiceAccount}

然后以8080为目标进行曝光

kubectl expose deployment {deployment-name}  --name={service-name} --type=LoadBalancer --port 80 --target-port 8080

2. 集群服务帐号

此方法不是首选方法，因为集群中的所有 VM 和 Pod 都将具有基于定义的服务帐户的权限。

使用分配的服务帐户创建集群

gcloud beta container clusters create [cluster-name] \
 --release-channel regular \
 --service-account {googleServiceAccount}

使用的 googleServiceAccount 需要分配适当的角色（见下文）。

然后如上部署并公开，但不设置 k8sServiceAccount

3.范围

此方法不是首选方法，因为集群中的所有 VM 和 Pod 都将具有基于定义的范围的权限。

创建具有指定范围的集群（firestore只需要“cloud-platform”，实时数据库还需要“userinfo.email”）

gcloud beta container clusters create $2 \
  --release-channel regular \
  --scopes https://www.googleapis.com/auth/cloud-platform,https://www.googleapis.com/auth/userinfo.email

然后如上部署并公开，但不设置 k8sServiceAccount

前两种方法需要一个分配了适当角色的 Google 服务帐户。以下是我为让一些 Firebase 产品正常运行而分配的角色：

• FireStore：云数据存储用户（数据存储）
• 实时数据库：Firebase 实时数据库管理（Firebase 产品）
• 存储：存储对象管理（云存储）