在GKE中创建MySQL Service失败：外部IP使用被准入控制拒绝

这个错误是因为GKE的准入控制机制禁止ClusterIP类型的Service配置externalIPs字段。ClusterIP的设计初衷是仅提供集群内部的访问入口，添加外部IP会打破既定的网络模型，同时可能引入安全风险，因此被GKE的默认准入策略拦截。

以下是具体解决办法：

方案1：移除externalIPs字段（推荐，仅需集群内部访问） #

直接删除配置中的externalIPs部分，保持ClusterIP类型即可满足集群内部访问需求。修改后的配置如下：

apiVersion: v1
kind: Service
metadata:
  name: mysql
  namespace: dev
  labels:
    app: mysql
    argocd.argoproj.io/instance: mysql-dev
    chart: mysql-2.0.0
    heritage: Helm
    release: mysql-dev
  annotations:
    kubectl.kubernetes.io/last-applied-configuration: >
      {"apiVersion":"v1","kind":"Service","metadata":{"annotations":{},"labels":{"app":"mysql","argocd.argoproj.io/instance":"mysql-dev","chart":"mysql-2.0.0","heritage":"Helm","release":"mysql-dev"},"name":"mysql","namespace":"dev"},"spec":{"ports":[{"name":"mysql","port":3306,"protocol":"TCP","targetPort":3306}],"selector":{"app":"mysql","release":"mysql-dev"},"type":"ClusterIP"}}
spec:
  ports:
    - name: mysql
      protocol: TCP
      port: 3306
      targetPort: 3306
  selector:
    app: mysql
    release: mysql-dev
  clusterIP: x.x.x.148
  clusterIPs:
    - x.x.x.148
  type: ClusterIP
  sessionAffinity: None
  ipFamilies:
    - IPv4
  ipFamilyPolicy: SingleStack
  internalTrafficPolicy: Cluster

方案2：改用合适的Service类型（需外部访问） #

根据你的访问需求选择对应的Service类型：

• 内部VPC访问：使用LoadBalancer类型并配置内部负载均衡，可指定静态内部IP到loadBalancerIP：

  spec:
    # 保留原有ports、selector等字段
    type: LoadBalancer
    loadBalancerIP: 你的内部静态IP
    annotations:
      cloud.google.com/load-balancer-type: "Internal"
  

• 公网访问：使用LoadBalancer类型，GKE会自动分配公网IP，也可指定静态公网IP到loadBalancerIP：

  spec:
    # 保留原有ports、selector等字段
    type: LoadBalancer
    loadBalancerIP: 你的公网静态IP
  

方案3：调整准入控制策略（不推荐） #

如果必须使用ClusterIP+externalIPs的组合，需要修改集群的PodSecurityPolicy或相关准入规则，允许Service配置externalIPs。但这种做法会降低集群安全性，不建议在生产环境中使用。

内容的提问来源于stack exchange，提问作者StackOverflow Asker