北京
“如果一切顺利，混合云平台让你本地和云端工作负载能像在同一个网络里那样互通。”这话说得挺漂亮，但真正动手把自建K8s集群跟谷歌云接起来的时候，运维们踩过的坑能把人埋了——尤其是跟GPU资源打交道的时候。
传统做法是什么？把服务账号密钥文件当成护身符，塞进Pod里、贴在配置里，然后用最古老的祈祷方式指望别泄漏、别过期。可现实呢？钥匙一落地就“意外气隙”——要么权限太大炸了一片，要么集群一扩容密钥管理直接失控。这种脆皮模式，搞混合云基本等于裸奔。
所以我们今天要扒的这套方案，专门治这种“长命密钥依赖症”。核心思路就一条：让本地K8s Pod通过工作负载身份联合（Workload Identity Federation）拿到短期、可审计的GCP访问令牌，全程不嵌入任何密钥文件。
这套模式能解决的原生痛点，咱们按清单撸一遍：
- 把分析负载卸给BigQuery，又保住数据主权：分析类应用留在本地，但流水般的数据直接灌进BigQuery拿去算。算力白嫖云端，还不用买新服务器，数据在自家地盘没跑。
- 用Cloud Interconnect拉通VPC，降延迟关公网：本地机房直接变成GCP虚拟私有云的延伸。你那些开发票的应用在本地跑着，却能和云里的用户服务低延迟交互，根本不用暴露在公网上。
- 云存储当后端，省钱又省心：本地App直接拿Cloud Storage存日志、备份、归档文件，存储成本对折都不止，还白捡了云原生的高可用。
- GPU调度不再求爷爷告奶奶：本地集群抢不到GPU？直接把工作负载的算力请求甩到GCP的GPU实例上，用完即焚，计费精确到秒。这才是混合云的真香时刻。
- 审计和权限收敛一步到位：每个请求都有清晰的身份来源，结合CEL和Kyverno做策略管控，爆炸半径被死死关在最小范围里，安全团队终于能睡个好觉。
动手之前，先把这些家当备齐：一个非GKE的K8s集群（裸金属、虚拟机都行），GCP项目里开启IAM、安全令牌服务和工作负载身份API，装好Terraform和Kyverno，Python 3带上google-cloud-secret-manager和google-cloud-aiplatform库，最后别忘了你的kubectl得能管到集群。所有配置工件和验证代码，文末GitHub仓库自取，复制粘贴就能跑。
别再拿长命密钥当护身符了，一不小心就变催命符。这套联合身份的玩法，就是你本地K8s集群正经用上云GPU最体面的姿势。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
