如何在GKE kubeconfig中配置硬编码凭证以实现共享使用？

实现方案：基于GCP服务账号生成静态认证配置 #

通过创建专用服务账号，生成包含硬编码令牌的kubeconfig，无需依赖本地gcloud环境或动态认证提供者。

步骤1：创建并配置服务账号 #

• 创建服务账号（按需命名）：

  gcloud iam service-accounts create gke-static-auth-user --display-name "GKE Static Access User"
  

• 绑定集群访问权限（示例使用roles/container.developer，可根据实际需求调整为更严格的权限）：

  gcloud projects add-iam-policy-binding <你的项目ID> \
    --member "serviceAccount:gke-static-auth-user@<你的项目ID>.iam.gserviceaccount.com" \
    --role "roles/container.developer"
  

步骤2：下载服务账号密钥文件 #

gcloud iam service-accounts keys create gke-static-key.json \
  --iam-account gke-static-auth-user@<你的项目ID>.iam.gserviceaccount.com

步骤3：生成含静态令牌的kubeconfig #

1. 先获取基础集群配置：

   export KUBECONFIG=./gke-shared-config
   gcloud container clusters get-credentials <集群名称> --region=<区域名称>
   

2. 生成服务账号的访问令牌：

   gcloud auth activate-service-account --key-file=gke-static-key.json
   export STATIC_TOKEN=$(gcloud auth print-access-token)
   

3. 替换kubeconfig中的动态认证为静态令牌：

   kubectl config set-credentials $(kubectl config view -o jsonpath='{.users[0].name}') --token=$STATIC_TOKEN
   

   执行后，kubeconfig的用户部分会变为：

   users:
   - name: user-name
     user:
       token: <静态访问令牌>
   

可选：长期使用优化 #

默认令牌有效期为1小时，如需生成长期有效配置，可使用GCP IAM服务账号创建长期令牌（不建议用于生产环境，需定期轮换密钥）：

gcloud iam service-accounts create-token gke-static-auth-user@<你的项目ID>.iam.gserviceaccount.com --lifetime=8760h

将生成的令牌替换到kubeconfig中即可。

注意事项 #

• 服务账号密钥文件和含静态令牌的kubeconfig需严格保密，避免泄露
• 遵循最小权限原则，仅给服务账号分配必要的集群操作权限
• 定期轮换服务账号密钥和令牌，降低泄露风险

内容的提问来源于stack exchange，提问作者tobias