如何在非交互模式下使用用户帐户对google-cloud-sdk进行身份验证

如何解决如何在非交互模式下使用用户帐户对google-cloud-sdk进行身份验证

当我使用service-account.json进行身份验证时，我无法访问任何项目，即命令'gcloud projects list'生成

列出了0个项目。

使用命令“ gcloud config set project my-project”设置gcloud项目会导致：

警告：您似乎无权访问项目[my-project]或该项目不存在。

但是该项目存在于我的service-account.json中 我正在尝试获取我的GKE群集凭据以创建kubeconfig条目。 'gcloud容器群集获取凭据my-cluster --zone = us-central1-a'

错误：（gcloud.container.clusters.get-credentials）ResponseError：代码= 403，消息=“项目/ my-project / zones / us-central1-所需的” container.clusters.get”权限a / clusters / my -cluster”。

当我使用gcloud init登录到GCP并使用用户帐户登录时，所有这些步骤均能获得成功的结果。但是我应该如何在不打开浏览器的情况下授权用户帐户。我不能使用“ --console-only”标志，因为它仍然需要复制粘贴URL并打开浏览器。我想仅通过使用脚本来自动执行对用户帐户进行身份验证的整个过程

注意：my-cluster GKE集群是在my-project下创建的，并由我创建。

解决方法

我怀疑（！？）您的服务帐户权限不足（通过角色授予）。

要列出项目（gcloud projects list），服务帐户必须在列表中的（每个项目）上（至少）有resourcemanager.projects.get个。参见：

https://cloud.google.com/resource-manager/docs/access-control-proj#permissions_and_roles

要检索集群权限，它必须具有container.clusters.get（请参阅full list）。

roles/container.clusterAdmin）包括这两者的好角色

服务帐户具有挑战性。它们既是资源（粒子）又是身份（波），并且根据上下文而表现不同。

作为资源，服务帐户由项目创建（并拥有），并且可以被授予任何项目（而不仅仅是所有者）的权限。

作为身份，可以授予服务帐户一些角色，这些角色将权限聚合到一种或多种方法中。我认为您可能会错过这一步骤。

Google的IAM documentation很不错。