GKE场景如何为服务账号添加container.clusters.update权限

删除GKE节点池是调用GCP官方Container API的控制平面操作，需要GCP项目层面的IAM权限container.clusters.update，该权限不属于集群内K8s RBAC的管控范围。你之前绑定的「K8s Engine admin」角色如果是集群内RBAC角色、或是绑定层级不对（比如仅绑定在单个节点池资源而非项目/集群层级），就会出现权限缺失的403报错。

• 确认当前操作的GCP项目ID为chaos，提前获取目标服务账号的完整邮箱，格式为<sa-name>@chaos.iam.gserviceaccount.com
• 执行gcloud命令为服务账号绑定官方预定义的Kubernetes Engine Admin角色（roles/container.admin），该角色默认包含所有GKE集群、节点池操作所需的全部API权限：

gcloud projects add-iam-policy-binding chaos \
  --member="serviceAccount:<替换为你的服务账号完整邮箱>" \
  --role="roles/container.admin"

• 执行以下命令校验绑定结果，确认角色已正确添加到服务账号的IAM策略中：

gcloud projects get-iam-policy chaos \
  --filter="member:serviceAccount:<替换为你的服务账号完整邮箱>"

注意：GCP IAM权限生效存在1-2分钟的传播延迟，绑定完成后等待2分钟再重试chaostoolkit的操作即可，无需立刻重启任务。

如果需要新建专属服务账号给chaostoolkit使用，按以下步骤操作：

• 在chaos项目下创建专用服务账号，可自定义账号名，示例如下：

gcloud iam service-accounts create chaostoolkit-op \
  --display-name="Chaostoolkit cluster operation SA"

• 参照前述现有账号授权的命令，给新创建的服务账号（邮箱格式为chaostoolkit-op@chaos.iam.gserviceaccount.com）绑定roles/container.admin角色
• 生成新的身份凭证文件sa.json，替换chaostoolkit配置清单中引用的旧凭证：

gcloud iam service-accounts keys create sa.json \
  --iam-account=chaostoolkit-op@chaos.iam.gserviceaccount.com

• 不要混淆GCP IAM与集群内RBAC：即便你在GKE集群内给对应账号绑定了cluster-admin集群角色，没有项目层面的GKE IAM权限时，调用container.googleapis.com的管控接口依然会返回403
• 如果遵循最小权限原则不想授予完整的K8s Engine Admin权限，可以创建自定义IAM角色，仅添加container.clusters.update、container.nodePools.delete两个删除节点池必需的权限即可
• 执行IAM绑定操作的当前账号需要拥有项目级别的resourcemanager.projects.setIamPolicy权限，否则授权操作本身会被拒绝

内容的提问来源于stack exchange，提问作者mgn