GCP K8s部署使用Cloud SQL Proxy遇403权限问题求助

核心原因 #

缺少K8s ServiceAccount与GCP ServiceAccount的Workload Identity绑定关系。尽管GCP侧服务账号配置了充足权限，但K8s集群内的ServiceAccount无法通过Workload Identity机制获取GCP服务账号的访问令牌，导致Proxy调用SQL Admin API时触发403权限错误。

解决步骤 #

1. 建立Workload Identity绑定 #

执行以下gcloud命令，将K8s中的testProject ServiceAccount与GCP的testProject@org.iam.gserviceaccount.com服务账号绑定：

gcloud iam service-accounts add-iam-policy-binding testProject@org.iam.gserviceaccount.com \
  --member "serviceAccount:ORG_PROJECT_ID.svc.id.goog[NAMESPACE/testProject]" \
  --role "roles/iam.workloadIdentityUser"

• 替换ORG_PROJECT_ID为你的GCP项目ID
• 替换NAMESPACE为K8s ServiceAccount所在的命名空间（若SA在default命名空间则填default）

2. 验证绑定状态 #

查看GCP服务账号的IAM策略，确认绑定已生效：

gcloud iam service-accounts get-iam-policy testProject@org.iam.gserviceaccount.com

检查输出中是否包含serviceAccount:ORG_PROJECT_ID.svc.id.goog[NAMESPACE/testProject]对应的roles/iam.workloadIdentityUser角色。

3. 确认集群已启用Workload Identity #

检查目标GKE集群是否开启了Workload Identity特性：

gcloud container clusters describe YOUR_CLUSTER_NAME --zone YOUR_CLUSTER_ZONE | grep workloadIdentityConfig

若输出无workloadIdentityEnabled: true，需更新集群启用该特性（更新会重启节点，需提前规划）：

gcloud container clusters update YOUR_CLUSTER_NAME --zone YOUR_CLUSTER_ZONE --workload-pool=ORG_PROJECT_ID.svc.id.goog

4. 重启Deployment应用配置 #

等待IAM绑定生效（约1-2分钟）后，重启Deployment让Pod加载新的权限配置：

kubectl rollout restart deployment testProject

额外检查项 #

• 确保K8s ServiceAccount的命名空间与绑定命令中的NAMESPACE完全一致
• 确认Cloud SQL实例的名称在Proxy命令中正确（org:europe-west2:testProject-db-staging需匹配实际实例ID）

内容的提问来源于stack exchange，提问作者Gergő Horváth