GKE默认服务账户是什么？AlloyDB连接403权限问题排查

你遇到的403权限问题，核心原因是Autopilot GKE Pod默认使用的服务账户并未获得足够的AlloyDB访问权限——即便你给其他IAM账户添加了角色，也没匹配到Pod实际使用的账户。以下是具体解决方法：

1. 确认Pod实际使用的GCP IAM服务账户 #

Autopilot GKE默认启用工作负载身份，Pod中的default服务账户（你未指定其他SA时使用的）会映射到一个GCP IAM账户。运行以下命令查看当前绑定的IAM账户：

kubectl describe serviceaccount default -n <你的命名空间>

查看输出中Annotations下的iam.gke.io/gcp-service-account字段，这个值就是Pod实际使用的GCP IAM账户邮箱。

如果该字段为空，说明Pod默认使用项目的Compute Engine默认服务账户，格式为[你的项目编号]-compute@developer.gserviceaccount.com。

2. 为目标IAM账户授予AlloyDB访问权限 #

给上面找到的IAM账户授予AlloyDB Client角色（足够满足Auth Proxy的连接需求，无需过度授权为Admin）：

gcloud projects add-iam-policy-binding <你的项目ID> \
  --member="serviceAccount:<找到的IAM账户邮箱>" \
  --role="roles/alloydb.client"

3. （可选）配置专属工作负载身份绑定（推荐） #

为了避免使用默认账户带来的权限过大问题，建议创建专属的IAM服务账户并绑定到Pod的SA：

• 创建GCP IAM服务账户：

gcloud iam service-accounts create alloydb-proxy-sa \
  --description="用于AlloyDB Auth Proxy的服务账户" \
  --display-name="AlloyDB Proxy SA"

• 授予AlloyDB访问权限：

gcloud projects add-iam-policy-binding <你的项目ID> \
  --member="serviceaccount:alloydb-proxy-sa@<你的项目ID>.iam.gserviceaccount.com" \
  --role="roles/alloydb.client"

• 绑定工作负载身份：

gcloud iam service-accounts add-iam-policy-binding alloydb-proxy-sa@<你的项目ID>.iam.gserviceaccount.com \
  --member="serviceaccount:<你的项目ID>.svc.id.goog[<你的命名空间>/default]" \
  --role="roles/iam.workloadIdentityUser"

• 给Pod的default服务账户添加注解：

kubectl annotate serviceaccount default -n <你的命名空间> \
  iam.gke.io/gcp-service-account=alloydb-proxy-sa@<你的项目ID>.iam.gserviceaccount.com

4. 验证Auth Proxy启动命令 #

确保Auth Proxy的启动命令正确指定了AlloyDB实例信息，比如：

./alloydb-auth-proxy --address 0.0.0.0 --port 5432 <项目ID>:<区域>:<实例名>=<数据库名>

内容的提问来源于stack exchange，提问作者bli00