小编and*_*hen的帖子

我目前正在使用GKE Workload Identity从 GKE 中访问 Google Cloud Platform 资源。这对于 Google Cloud Storage 和其他平台资源非常有效。

但是，当我尝试使用 GKE Workload Identity 访问 Google Sheet 时，我遇到了“身份验证范围不足”的问题。

当我为服务帐户生成密钥文件并在我的代码中使用它时，我可以手动将范围设置为https://www.googleapis.com/auth/spreadsheets. 它按预期工作，我可以访问工作表。如果我将范围更改https://www.googleapis.com/auth/cloud-platform为 ，则会收到与 GKE Workload Identity 相同的错误“身份验证范围不足”。此结果表明服务帐号运行良好，因此问题似乎与分配给 GKE Workload Identity 的范围有关。

使用 GKE Workload Identity，我使用credentials = google.auth.default()[1]在 Python 中检索凭据。该credentials对象具有预期的服务帐户，并且范围设置为https://www.googleapis.com/auth/cloud-platform。我现在可以访问服务帐户有权访问的存储桶和其他云资源。但是，Google Sheets 似乎需要https://www.googleapis.com/auth/spreadsheets范围，但我还没有找到任何设置它的方法。从 GKE 集群中运行的 GKE 元数据服务器检索工作负载身份（服务帐号）和范围。据我所知，GKE Workload 身份的范围似乎是“硬编码”到https://www.googleapis.com/auth/cloud-platform. 我没有找到有关是否可以更改的信息。

（我尝试将电子表格范围添加到 GKE 节点 oauth 范围。没有效果。从我从文档中可以理解的内容来看，它应该是无关的。）

（当然，我可以只使用密钥文件来完成这项工作，但 GKE Workload 身份的全部意义正是为了避免安全生成和分发密钥的所有麻烦）

[1]用户指南 — google-auth 1.6.2 文档