启用GKE Workload Identity后，如何判断是否需配置应用适配？

1. 如何判断应用是否需要配置Workload Identity？ #

判断核心看应用是否依赖GCP服务及当前的认证方式：

• 如果应用需要访问GCP托管服务（比如Cloud Storage、BigQuery、Pub/Sub等），且当前是通过以下方式认证：
  • 挂载GCP服务账号的JSON密钥文件到Pod中
  • 依赖节点的元数据服务器获取默认服务账号权限
    这类应用必须配置Workload Identity。
• 如果应用完全不涉及任何GCP服务访问，仅在Kubernetes集群内部运行，则不需要配置。

2. 未配置应用就迁移至启用Workload Identity的节点池会产生什么后果？ #

根据应用当前的认证方式，会出现不同程度的问题：

• 依赖JSON密钥文件的应用：短时间内可能正常运行，但不符合Workload Identity的安全模型，一旦密钥过期、被回收或泄露，应用会直接失去GCP服务访问权限；同时节点池的元数据访问限制会导致如果应用同时依赖默认节点账号的话，这部分访问会失败。
• 依赖节点默认服务账号的应用：会直接出现认证失败，无法访问GCP服务，导致应用功能异常甚至完全不可用。
• 整体来说，未配置就迁移大概率会引发应用与GCP服务交互的报错，影响业务正常运行。

内容的提问来源于stack exchange，提问作者OpenBSDNinja