如何在GKE部署的Golang应用中通过Workload Identity访问GCS

前提确认 #

先确保Workload Identity的绑定流程已完成：

• K8s服务账号（SA）已与GCP服务账号（GSA）绑定，且GSA拥有GCS的对应访问权限（如roles/storage.objectViewer）
• GKE集群及节点池已启用Workload Identity

Golang SDK配置步骤 #

Workload Identity会自动为Pod注入GSA的身份凭证，Golang GCP SDK无需手动配置密钥文件，只需遵循以下步骤：

1. 导入依赖包 #

确保项目引入GCS相关SDK：

import (
    "context"
    "fmt"
    "io"

    "cloud.google.com/go/storage"
)

2. 初始化GCS客户端 #

SDK会自动从Pod的元数据服务获取Workload Identity凭证，直接初始化客户端即可：

func main() {
    ctx := context.Background()

    // 自动使用Workload Identity凭证创建客户端
    client, err := storage.NewClient(ctx)
    if err != nil {
        panic(fmt.Sprintf("创建GCS客户端失败: %v", err))
    }
    defer client.Close()

    // 示例：读取GCS对象内容
    bucketName := "你的存储桶名称"
    objectPath := "对象的路径/文件名.txt"

    reader, err := client.Bucket(bucketName).Object(objectPath).NewReader(ctx)
    if err != nil {
        panic(fmt.Sprintf("打开GCS对象失败: %v", err))
    }
    defer reader.Close()

    content, err := io.ReadAll(reader)
    if err != nil {
        panic(fmt.Sprintf("读取GCS对象失败: %v", err))
    }

    fmt.Printf("对象内容: %s\n", content)
}

3. Pod配置要点 #

在Deployment YAML中指定已绑定GSA的K8s服务账号：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: go-gcs-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: go-gcs-app
  template:
    metadata:
      labels:
        app: go-gcs-app
    spec:
      serviceAccountName: 你的K8s服务账号名  # 必须是已绑定GSA的SA
      containers:
      - name: go-app-container
        image: 你的Golang应用镜像:标签

常见问题排查 #

• 若出现权限错误，检查GSA的IAM权限是否包含GCS的访问权限
• 确认K8s SA与GSA的绑定命令是否执行正确：gcloud iam service-accounts add-iam-policy-binding [GSA邮箱] --member="serviceAccount:[项目ID].svc.id.goog[命名空间/K8s SA名]" --role="roles/iam.workloadIdentityUser"
• 验证GKE集群及节点池是否已启用Workload Identity

内容的提问来源于stack exchange，提问作者Arpit