DockerContainer内のContainerOSでGoogleCloudサービスアカウントの認証情報にアクセスします

Google CloudComputeでContainerOptimized OS（COS）を使用して、Dockerコンテナ内からVMプロジェクトのデフォルトのサービスアカウントの認証情報にアクセスするための最良の方法は何ですか？

$ gcloud compute instances create test-instance \
  --image=cos-stable --image-project=cos-cloud

$ ssh (ip of the above)
# gcloud ...
Command not found

# docker run -ti google/cloud-sdk:alpine /bin/sh
# gcloud auth activate-service-account
... --key-file: Must be specified.

資格情報がVMにある場合、Dockerはそれらをマウントするだけで済みます。通常、資格情報はにあり、.config/gcloud/これをで行いdocker run -v ~/.config/gcloud:~/.config/gcloud imageます。そのような資格情報がContainerOSで利用できるかどうか、どこで利用できるかは明らかではありませんgcloud。

VM上にあり、マウント可能な資格情報がない場合、オプションには次のものが含まれるように見えます。

1. 資格情報をコンテナのメタデータ/環境変数に入れます。
2. .jsonサービスアカウントの資格情報ファイルを作成してから、
   1. それをVMにアップロードしてから、マウントします。または
   2. を.jsonコンテナに追加します。
3. 資格情報を取得し、共有マウントパーティションなどを介してホストと共有するDockerコンテナ（例：cloud-sdk-docker）を実行します。理想的にはこれはgcloud auth activate-service-account

DockerコンテナーにVMのプロジェクトのサービスアカウント資格情報を提供するための標準的な方法またはベストプラクティスの方法はありますか？

Google Cloudにはすでにセキュリティポリシーモデルがあり、望ましいモデルです。プロジェクト内のVMは、サービスアカウントによって提供されるアクセス権を持っている必要があります。複雑さや設定ミスや事故の可能性を回避するために、正しいソリューションでは、この既存のセキュリティモデルを採用します。つまり、資格情報ファイルの作成、ダウンロード、配布、および保守を行いません。

これはCOS、Docker、Kubernetesで解決する必要のある日常的な問題のように思われるので、簡単なことを見逃したと思いますが、ドキュメントからは解決策がわかりませんでした。

編集— set-service-account APIに注意—この質問は「ContainerOSでset-service-account APIをどのように使用しますか？」に減らすことができます。（コンテナOSが欠けているので、それが不可能な場合gcloudとgsutil）、私はVMのユーザーがそれに応じて計画することができますので、これは注意すべきであると考えます。

編集次の人々がこれを越えるために：

問題を再現するために、私は以下を使用しました。

[local] $ ssh test-instance-ip
[test-instance] $ docker run -it gcr.io/google-appengine/python /bin/bash
[test-instance] $ pip install --upgrade google-cloud-datastore
[test-instance] $ python

>>> from google.cloud import datastore
>>> datastore_client = datastore.Client()
>>> q = datastore.query.Query(datastore_client, kind='MODEL-KIND')
>>> list(q.fetch())
[... results]

問題は確かにVMインスタンスのAPIで設定されたスコープであり、特にdatastoreAPIはデフォルトアカウントに対して無効にされていました（VMのCloud APIアクセススコープという見出しの下）。スコープと必要なdatastore行は次のように見つけることができます。

> gcloud compute instances describe test-instance
...
serviceAccounts:
- email: *****[email protected]
  scopes:
  - https://www.googleapis.com/auth/datastore
  ...
...

サービスアカウント自体がデータストアへのアクセス許可を持っていることに注意してください（したがって、データストアには通常、サービスキーのjson資格情報キーを使用してアクセスできます）。サービスアカウントのアクセス許可は、VMのスコープによって制限されていました。