配置GKE Workload Identity时遇INVALID_ARGUMENT错误求助

一、IAM绑定命令报错的修复 #

你的命令存在三个明确问题，修正后即可正常执行：

• 项目参数格式错误：gcloud projects add-iam-policy-binding 后直接填写项目ID即可，无需添加projects/前缀。
• 无效的condition参数：无绑定条件时，直接移除--condition=None参数，该参数仅在需要设置条件时使用。
• 确认占位符已替换：确保my-project-number是你的项目数字ID（非字符串ID），my-project-id是项目字符串ID，二者不可混淆。

修正后的命令示例：

gcloud projects add-iam-policy-binding my-project \
    --role=roles/container.clusterViewer \
    --member=principal://iam.googleapis.com/projects/1234567890/locations/global/workloadIdentityPools/my-project-id.svc.id.goog/subject/ns/default/sa/test-sa

二、Workload Identity Pool无法查询的原因 #

GKE开启Workload Identity后自动创建的是系统管理的Workload Identity Pool，默认gcloud iam workload-identity-pools list --location global不会显示这类池。需添加--show-system-pools参数才能查询到：

gcloud iam workload-identity-pools list --location global --show-system-pools

执行后即可看到名为my-project-id.svc.id.goog的目标池。

内容的提问来源于stack exchange，提问作者Chris Recalis