4.9.4.5. 在 GCP 中创建服务帐户
OpenShift Container Platform 需要一个 Google Cloud Platform (GCP) 服务帐户，用于访问 Google API 中数据的验证和授权。如果您没有包含项目中所需角色的现有 IAM 服务帐户，您必须创建一个。
先决条件
- 创建了用于托管集群的项目。
流程
- 在用于托管 OpenShift Container Platform 集群的项目中，创建一个新服务帐户。请参阅 GCP 文档中的创建服务账户。
为服务帐户授予适当的权限。您可以逐一授予权限，也可以为其分配
Owner角色。请参阅将角色授予特定资源的服务帐户。注意获得所需权限最简单的方法是把服务帐户设置为项目的拥有者（owner），这意味着该服务帐户对项目有完全的控制权。您必须考虑这样设定所带来的的风险是否可以接受。
以 JSON 格式创建服务帐户密钥。请参阅 GCP 文档中的创建服务帐户密钥。
创建集群时需要该服务帐户密钥。
4.9.4.5.1. 所需的 GCP 权限
如果将 Owner 角色附加到您创建的服务帐户，您向该服务帐户授予所有的权限，包括安装 OpenShift Container Platform 所需的权限。要部署 OpenShift Container Platform 集群，服务帐户需要以下权限：如果您将集群部署到现有的 VPC 中，则服务帐户不需要某些网络权限，如下表所示：
安装程序所需的角色
- Compute Admin
- Security Admin
- Service Account Admin
- Service Account User
- Storage Admin
安装过程中创建网络资源所需的角色
- DNS Administrator
用户置备的 GCP 基础架构所需的角色
- Deployment Manager Editor
- Service Account Key Admin
可选角色
若要使集群为其 Operator 创建新的有限凭证，请添加以下角色：
- Service Account Key Admin
以下角色将应用到 control plane 或计算机器使用的服务帐户：
| 帐户 | 角色 |
|---|---|
| Control Plane |
|
|
| |
|
| |
|
| |
|
| |
| Compute |
|
|
|
