Как разрешить учетной записи службы IAM запускать контейнер докеров в виртуальной машине GCP?

Я нашел решение и хочу поделиться им здесь, чтобы помочь кому-то другому, желающему сделать то же самое. Пользователь, выполняющий команду docker (без sudo), должен иметь группу docker. Поэтому я попытался добавить учетную запись службы в качестве пользователя и дал ей группу докеров, и все. docker login в gcr работали, docker run тоже. Итак, проблема решена, но возникает пара дополнительных вопросов.

Во-первых, правильно ли это сделать? Если нет, то что? Если это действительно правильный путь, то, возможно, учетная запись службы, выбранная при создании виртуальной машины, должна быть добавлена ​​в качестве пользователя при ее создании (виртуальной машине). Я понимаю, что это приводит к некоторым осложнениям, например к тому, что происходит при изменении учетной записи службы. Удаляется ли старый служебный аккаунт пользователя или его следует сохранить? Но я думаю, что, по крайней мере, можно предоставить возможность добавить пользователя учетной записи службы к виртуальной машине - что-то вроде флажка в консоли - чтобы конечный пользователь мог принять вызов. Надеюсь, кто-нибудь из GCP это прочитает.

Как указано в этой статье, предпринятые вами шаги являются правильным способом сделай это. Добавление пользователей в группу «docker» позволит пользователям запускать команды docker без полномочий root. Если вы создаете новую учетную запись службы и хотите, чтобы эта учетная запись службы выполняла команды докеров в экземпляре виртуальной машины, вам также необходимо добавить эту учетную запись службы в группу докеров.

Если вы измените учетную запись службы на экземпляре виртуальной машины, старая учетная запись службы все равно должна иметь возможность запускать команды докеров, пока старая учетная запись службы не удалена из группы докеров и не была удалена из Cloud IAM; однако вам все равно нужно будет добавить новую учетную запись службы в группу докеров, чтобы она могла запускать команды докеров от имени пользователя без полномочий root.

Обновление: автоматизация создания учетной записи службы при создании экземпляра виртуальной машины вручную была бы утомительной. В сценарии запуска вам необходимо сначала создать учетную запись службы с помощью команды gcloud, а затем добавьте соответствующие Роли IAM. Как только это будет сделано, вам все равно придется добавить учетную запись службы в каталог docker groupadd.

Было бы намного проще создать учетную запись службы из Консоль при создании экземпляра виртуальной машины. После создания экземпляра виртуальной машины вы можете добавить учетную запись службы в каталог docker groupadd.

Если вы хотите запросить новую функцию в GCE, вы можете отправить общедоступное средство отслеживания проблем, посетив этот сайт .