GKE授权是否需同时配置IAM与RBAC权限？代码实现疑问

核心结论 #

当前配置不可行，你需要额外配置RBAC授权才能让服务账号成功执行kubectl get deployments命令。

权限分层说明 #

GKE的权限分为两层，你当前仅覆盖了第一层：

1. GCP IAM权限：
   • container.clusters.get：这个权限有效，允许你调用GCP Container API获取集群端点、证书等元数据，所以生成kubeconfig的步骤可以正常完成。
   • 你列出的cluster.deployments.get不是标准GCP IAM权限（正确格式应为container.deployments.get），且即便拥有该权限，也仅属于GCP层面管控，不直接对应K8s集群内部的资源访问权限。
2. K8s RBAC权限：
   访问K8s集群内的Deployment资源，必须依赖K8s自身的RBAC授权——GCP IAM权限仅管控「能否访问集群本身」，不管控「集群内具体资源的读写权限」。执行kubectl get deployments需要K8s的deployments.get和deployments.list权限，你的服务账号目前没有这些权限。

解决方法 #

有两种方式配置所需权限：

方式一：通过GCP IAM绑定预定义GKE角色（推荐） #

给服务账号绑定GCP预定义的GKE角色，GKE会自动将这些角色映射为K8s RBAC权限。例如绑定roles/container.developer角色（包含Deployment的读权限）：

gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member=serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL \
  --role=roles/container.developer

方式二：手动创建K8s RBAC规则 #

如果需要更精细的权限控制，可以手动在集群内创建RBAC资源：

1. 创建包含Deployment读权限的ClusterRole：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: deployment-reader
rules:
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list"]

2. 创建ClusterRoleBinding，将服务账号（以邮箱形式作为K8s User身份）绑定到上述ClusterRole：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: sa-deployment-reader
subjects:
- kind: User
  name: "YOUR_SERVICE_ACCOUNT_EMAIL" # 格式：xxx@your-project-id.iam.gserviceaccount.com
roleRef:
  kind: ClusterRole
  name: deployment-reader
  apiGroup: rbac.authorization.k8s.io

将上述YAML应用到集群后，服务账号就拥有了读取Deployment的权限。

Go代码流程补充 #

在Go代码中，除了生成kubeconfig的逻辑，你需要确保：

• 服务账号的密钥拥有足够的GCP IAM权限（至少container.clusters.get）来获取集群信息；
• 提前完成上述RBAC配置（方式一或方式二），否则调用K8s API时会返回403权限拒绝错误。

内容的提问来源于stack exchange，提问作者gtr4