GKE是否具备类似Cloud Run的OIDC令牌服务调用认证？如何实现授权访问？

GKE本身没有和Cloud Run完全一致的内置OIDC令牌服务调用认证机制，但可以通过以下几种方案实现类似的授权能力，确保只有指定的服务账号能调用目标服务：

方案一：Workload Identity + 服务网格（如Istio） #

• 先给GKE工作负载配置Workload Identity，让Pod绑定到特定的GCP服务账号，Pod会自动获取该账号的身份凭证。
• 部署Istio并开启强制mTLS加密服务间通信，接着用Istio的AuthorizationPolicy配置访问规则：
  • 定义允许访问目标服务的来源身份，格式为serviceaccount:<命名空间>:<服务账号名>。
  • Istio会自动在服务调用时附加基于服务账号的身份令牌，目标服务无需额外处理，由Istio完成验证。

方案二：直接使用GCP服务账号OIDC令牌 #

• 关联了Workload Identity的Pod，可通过GCP元数据服务器获取当前服务账号的OIDC令牌，获取时指定目标服务为令牌的受众（aud字段）。
• 调用服务时，将令牌放在Authorization: Bearer <令牌>请求头中发送。
• 目标服务侧验证逻辑：
  • 从GCP官方OIDC公钥端点获取公钥，验证令牌签名有效性。
  • 检查令牌的aud是否匹配目标服务的标识，email字段是否属于授权的服务账号。
  • 可以借助google-auth-library这类工具简化验证流程。

方案三：RBAC + 应用层验证 #

• 用GKE的RBAC机制限制Pod对集群资源的访问，但这无法直接用于服务间调用认证，需配合应用层逻辑：
  • 服务调用方通过Workload Identity获取自身服务账号的凭证信息，调用时传递给目标服务。
  • 目标服务维护授权服务账号列表，验证请求携带的身份是否在列表内。

内容的提问来源于stack exchange，提问作者Sergii