19.2. 配置 Google 工作负载身份联邦

流程

1. 按照 Google Cloud Platform 文档中的说明，为 GKE 使用工作负载身份联合。

2. 运行以下命令来注解 RHACS 服务帐户：

   $ oc annotate serviceaccount \ 

   1

   
       central \ 

   2

   
       --namespace stackrox \
       iam.gke.io/gcp-service-account=<GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

   2

   在设置委托扫描时，请使用 sensor 而不是 Central。

流程

1. 按照 Manage workload identity pool 中的说明，创建工作负载身份池。例如：

   $ gcloud iam workload-identity-pools create rhacs-pool \
       --location="global" \
       --display-name="RHACS workload pool"

2. 按照 Manage workload identity pool provider 中的说明，创建工作负载身份提供程序。例如：

   $ gcloud iam workload-identity-pools providers create-oidc rhacs-provider \
       --location="global" \
       --workload-identity-pool="rhacs-pool" \
       --display-name="RHACS provider" \
       --attribute-mapping="google.subject=assertion.sub" \
       --issuer-uri="https://<oidc_configuration_url>" \
       --allowed-audiences=openshift

3. 将 Google 服务帐户连接到工作负载身份池。例如：

   $ gcloud iam service-accounts add-iam-policy-binding <GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com \
       --role roles/iam.workloadIdentityUser \
       --member="principal://iam.googleapis.com/projects/<GSA_PROJECT_NUMBER>/locations/global/workloadIdentityPools/rhacs-provider/subject/system:serviceaccount:stackrox:central" 

   1

   1

   要进行委派的扫描，请将 subject 设置为 system:serviceaccount:stackrox:sensor。

4. 创建包含安全令牌服务(STS)配置的服务帐户 JSON。例如：

   {
     "type": "external_account",
     "audience": "//iam.googleapis.com/projects/<GSA_PROJECT_ID>/locations/global/workloadIdentityPools/rhacs-pool/providers/rhacs-provider",
     "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
     "token_url": "https://sts.googleapis.com/v1/token",
     "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com:generateAccessToken",
     "credential_source": {
       "file": "/var/run/secrets/openshift/serviceaccount/token",
       "format": {
         "type": "text"
       }
     }
   }

5. 使用服务帐户 JSON 作为 RHACS 命名空间的 secret：

   apiVersion: v1
   kind: Secret
   metadata:
     name: gcp-cloud-credentials
     namespace: stackrox
   data:
     credentials: <base64_encoded_json>