如何在Bank of Anthos中实现Workload Identity安全最佳实践【免费下载链接】bank-of-anthosRetail banking sample application showcasing Kubernetes and Google Cloud项目地址: https://gitcode.com/gh_mirrors/ba/bank-of-anthosBank of Anthos是一个零售银行示例应用展示了Kubernetes和Google Cloud的强大功能。在现代云原生应用中安全访问云服务是至关重要的一环。本文将详细介绍如何在Bank of Anthos中实现Workload Identity这是一种安全最佳实践可帮助您的应用安全地与GCP服务进行交互。Workload Identity简介为何它对Bank of Anthos至关重要Workload Identity是Google Cloud提供的一种安全机制它允许Kubernetes集群中的工作负载如Bank of Anthos的微服务安全地访问GCP资源而无需管理静态服务账号密钥。这一机制通过将Kubernetes服务账号KSA与Google服务账号GSA关联极大地提升了应用的安全性和可管理性。对于Bank of Anthos这类金融应用而言Workload Identity尤为重要因为它可以消除静态密钥管理的风险提供更精细的权限控制简化审计和合规流程支持Anthos Service Mesh等高级功能图1: Bank of Anthos架构展示了多个微服务如何协同工作Workload Identity为这些服务提供安全的GCP资源访问实现Workload Identity的前提条件在开始之前请确保您的环境满足以下条件已启用Workload Identity的GKE集群这是使用Anthos Service Mesh的必要条件适当的GCP项目权限至少需要iam.serviceAccounts.admin和container.clusters.admin权限Bank of Anthos源代码已克隆到本地git clone https://gitcode.com/gh_mirrors/ba/bank-of-anthos详细步骤在Bank of Anthos中配置Workload Identity步骤1设置Workload Identity基础首先按照GKE官方文档在您的GKE集群上设置Workload Identity。这一步将创建必要的Kubernetes服务账号KSA和Google服务账号GSA。请记下您在设置过程中使用的Kubernetes命名空间后续步骤将需要用到这个信息。步骤2为GSA添加必要的IAM角色为了让Bank of Anthos的工作负载能够发送跟踪和指标到GCP需要为您的GSA添加适当的IAM角色。打开终端执行以下命令PROJECT_IDyour-gcp-project-id GSA_NAMEyour-gsa gcloud projects add-iam-policy-binding ${PROJECT_ID} \ --member serviceAccount:${GSA_NAME}${PROJECT_ID}.iam.gserviceaccount.com \ --role roles/cloudtrace.agent gcloud projects add-iam-policy-binding ${PROJECT_ID} \ --member serviceAccount:${GSA_NAME}${PROJECT_ID}.iam.gserviceaccount.com \ --role roles/monitoring.metricWriter这些命令授予GSA发送跟踪数据和写入指标的权限这对于Bank of Anthos的可观测性至关重要。步骤3生成Bank of Anthos专用清单文件接下来我们需要生成使用您的KSA作为Pod服务账号的Bank of Anthos清单文件。在项目根目录执行以下Bash命令KSA_NAMEyour-ksa mkdir -p wi-kubernetes-manifests FILESpwd/kubernetes-manifests/* for f in $FILES; do echo Processing $f... sed s/serviceAccountName: default/serviceAccountName: ${KSA_NAME}/g $f wi-kubernetes-manifests/basename $f done这个脚本会创建一个新的wi-kubernetes-manifests目录其中包含所有修改后的Kubernetes清单文件这些文件已将默认服务账号替换为您的KSA。步骤4部署配置好Workload Identity的Bank of Anthos最后使用修改后的清单文件将Bank of Anthos部署到您的GKE集群。确保部署到与您的KSA相同的命名空间NAMESPACEyour-ksa-namespace kubectl apply -n ${NAMESPACE} -f ./wi-kubernetes-manifests图2: 在多集群环境中Workload Identity确保跨集群的安全服务访问验证Workload Identity配置部署完成后您可以通过检查Pod的服务账号和权限来验证Workload Identity是否正确配置# 检查Pod使用的服务账号 kubectl get pods -n ${NAMESPACE} -o jsonpath{.items[*].spec.serviceAccountName} # 验证工作负载是否可以访问GCP服务 kubectl exec -n ${NAMESPACE} pod-name -- curl -H Metadata-Flavor: Google http://metadata/computeMetadata/v1/instance/service-accounts/default/email如果配置正确第二个命令将返回您配置的GSA邮箱地址。高级配置在多集群环境中使用Workload Identity对于更复杂的部署如多集群环境Bank of Anthos提供了额外的配置选项。您可以在extras/cloudsql-multicluster/目录中找到相关的配置文件和指南。这些资源展示了如何在跨多个GKE集群的环境中配置Workload Identity以实现安全的跨集群服务访问。总结Workload Identity为Bank of Anthos带来的安全优势通过在Bank of Anthos中实现Workload Identity您不仅满足了Anthos Service Mesh的要求还显著提升了应用的安全性。这种方法消除了对静态密钥的需求提供了更精细的权限控制并简化了合规性审计。无论您是在单集群还是多集群环境中运行Bank of AnthosWorkload Identity都是保护您的金融应用和用户数据的关键实践。通过遵循本文概述的步骤您可以确保您的Bank of Anthos部署既安全又符合现代云原生应用的最佳实践。有关更多详细信息请参阅项目中的官方文档docs/workload-identity.md。【免费下载链接】bank-of-anthosRetail banking sample application showcasing Kubernetes and Google Cloud项目地址: https://gitcode.com/gh_mirrors/ba/bank-of-anthos创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考