API権限を変更するには、Google Container Engineクラスターを再作成する必要はありますか？

Question

this earlier questionを読んだ後、いくつかのフォローアップの質問があります。 Cloud Monitoring APIのアクセス権が不足しているGoogle Container Engineクラスタがあります。この投稿によると私はそれを有効にすることはできません。

参照先は1歳です。ただ確かに：それはまだ正しいですか？クラスタ作成後にこれらのアクセス権を変更する方法がないため、クラスタのクラウドモニタリングAPIをGKEクラスタ用に有効にするには、クラスタ全体を再作成する必要があります。

また、これを行う必要がある場合は、将来的には本番クラスタでそれらのいずれかを使用したい場合に備えて、可能な限り広い権限ですべてのAPIを有効にすることが最善であると思われますそれが使用されているとき、私は全体を落としてそれを再現することはできません。このアプローチには何らかの欠点がありますか？

Answer 1

あなたは、同じクラスタを保つが、あなたが必要とする新しいスコープを持つ新しいNode Poolを作成し（その後、古い「デフォルト」ノードプールを削除）することができます

gcloud container node-pools create new-np --cluster $CLUSTER --scopes monitoring 

欠点がすべての権限を有効にする場合であります多くの異なる場所で同じサービスアカウントを使用します。たとえば、私のservice-account-1がこのGKEクラスタからクラウドモニタリングにアクセスする必要があるが、無関係なGCE VMでも使用されている場合、そのGCE VMがクラウドモニタリングデータにアクセスしないようにすることができます。