k8s之ServiceAccount

上古伪神

于 2021-01-17 20:47:18 发布

阅读量1.3w

点赞数 10

CC 4.0 BY-SA版权

分类专栏： Kubernetes 文章标签： kubernetes

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.csdn.net/weixin_37337210/article/details/112757500

本文介绍了Kubernetes中的ServiceAccount，它是Pod进程的身份凭证，用于安全访问API Server。ServiceAccount与Role结合，赋予权限，且Token用于认证。Pod中的ServiceAccount Secret包含认证所需的token、ca.crt和namespace文件。默认情况下，每个Namespace有一个default ServiceAccount，用户可通过创建和绑定ClusterRole赋予特定权限。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

导读

上一篇说了k8s的RBAC授权模式，今天就来简单看一下其中涉及到的ServiceAccount。

简介

k8s创建两套独立的账号系统，原因如下：

（1）User账号给用户用，Service Account是给Pod里的进程使用的，面向的对象不同

（2）User账号是全局性的，Service Account则属于某个具体的Namespace

（3）User账号是与后端的用户数据库同步的，创建一个新用户通常要走一套复杂的业务流程才能实现，Service Account的创建则需要极轻量级的实现方式，集群管理员可以很容易地为某些特定任务创建一个Service Account

（4）对于一个复杂的系统来说，多个组件通常拥有各种账号的配置信息，Service Account是Namespace隔离的，可以针对组件进行一对一的定义，同时具备很好的“便携性”

Controller Manager创建了ServiceAccount Controller和Token Controller这两个安全相关的控制器。其中ServiceAccount Controller一直监听Service Account和Namespace的事件，如果在一个Namespace中没有default Service Account，那么Service Account会给Namespace创建一个默认（default）的Service Account。

如果Controller manager进程在启动时指定API Service私钥（service-accountprivate-key-file参数）&#

最低0.47元/天解锁文章

评论 4

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。