GKE访问Google Secret Manager权限被拒，授权默认服务账号仍报错

针对你遇到的GKE服务调用Secret Manager权限拒绝问题，以下是几个关键的排查和解决点：

• 确认Pod实际使用的服务账号
  GKE Pod默认不会自动使用Compute Engine的默认服务账号，除非你在Deployment配置中显式指定。检查你的Deployment YAML文件，查看是否设置了serviceAccountName字段：

  • 如果没设置，Pod会使用所在命名空间的默认服务账号（比如default），而非你授权的***-compute@developer.gserviceaccount.com。
  • 解决方式：要么给Pod实际使用的服务账号授予Secret Manager Secret Accessor（或更高权限），要么在Deployment的spec.template.spec.serviceAccountName中指定已授权的Compute Engine服务账号。

• 验证权限是否生效
  IAM权限可能存在几分钟的生效延迟，你可以通过gcloud命令直接验证目标服务账号的权限：

  gcloud projects get-iam-policy 你的项目ID --filter="bindings.members:serviceAccount:***-compute@developer.gserviceaccount.com" --format="value(bindings.role)"
  

  确认输出中包含roles/secretmanager.admin或至少roles/secretmanager.secretAccessor（后者已足够访问Secret版本）。

• 检查Secret资源的有效性
  错误提示中的通配符路径需要替换为实际的项目ID和Secret名称，确认对应的Secret存在且latest版本有效：

  gcloud secrets describe 你的Secret名称 --project 你的项目ID
  

  确保Secret未被删除，且最新版本处于启用状态。

• 排查Workload Identity配置（如果集群启用了该功能）
  若你的GKE集群开启了Workload Identity，直接使用Compute Engine服务账号会失效，需要完成K8s服务账号与GCP服务账号的绑定：

  1. 给GCP服务账号添加IAM绑定，允许K8s服务账号扮演它：

     gcloud iam service-accounts add-iam-policy-binding ***-compute@developer.gserviceaccount.com --member="serviceAccount:你的项目ID.svc.id.goog[命名空间/K8s服务账号名]" --role="roles/iam.workloadIdentityUser"
     

  2. 给K8s服务账号添加注解关联GCP服务账号：

     kubectl annotate serviceaccount K8s服务账号名 --namespace 命名空间 iam.gke.io/gcp-service-account=***-compute@developer.gserviceaccount.com
     

  3. 确保Deployment配置中使用该K8s服务账号。

• 验证Pod的身份
  进入Pod内部，验证当前使用的服务账号是否正确：

  kubectl exec -it 你的Pod名称 -- curl -H "Metadata-Flavor: Google" http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/email
  

  若启用了Workload Identity，执行：

  kubectl exec -it 你的Pod名称 -- curl -H "Metadata-Flavor: Google" http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/email
  

  确认返回的邮箱是你已授权的服务账号。

内容的提问来源于stack exchange，提问作者GSeriousB