返回

从ServiceAccount角度深度解析Kubernetes授权机制

开发工具

一、ServiceAccount简介

Kubernetes创建了两套独立的账号系统，原因如下：

  • User账号给用户用，ServiceAccount给应用用
  • User账号是人，ServiceAccount是机器人
  • 这样做的好处是可以解耦，一个出了问题不会影响另一个

ServiceAccount是Kubernetes中一种特殊的服务账号，它允许Pod访问Kubernetes API。ServiceAccount通常用于Pod与Kubernetes API进行交互，例如，Pod需要访问Kubernetes API来获取自己的IP地址或服务发现信息。

二、ServiceAccount创建

ServiceAccount的创建非常简单，只需使用kubectl命令即可：

kubectl create serviceaccount [service-account-name]

例如，要创建一个名为default的ServiceAccount，可以运行以下命令：

kubectl create serviceaccount default

ServiceAccount创建后，系统会自动生成一个与此ServiceAccount关联的ServiceAccount令牌（ServiceAccount Token）。此令牌可以被Pod使用来访问Kubernetes API。

三、ServiceAccount使用

Pod可以使用ServiceAccount令牌来访问Kubernetes API。这可以通过多种方式来实现，最常见的方式是将ServiceAccount令牌挂载到Pod的Volume中。

例如，以下清单文件定义了一个Pod，它将ServiceAccount令牌挂载到/var/run/secrets/kubernetes.io/serviceaccount目录中：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  volumes:
  - name: serviceaccount-token
    secret:
      secretName: default-token-f234r
  containers:
  - name: my-container
    image: nginx:latest
    volumeMounts:
    - name: serviceaccount-token
      mountPath: /var/run/secrets/kubernetes.io/serviceaccount

Pod启动后，它就可以使用ServiceAccount令牌来访问Kubernetes API了。

四、ServiceAccount管理

ServiceAccount可以被管理员进行管理，包括创建、删除、修改等操作。管理员可以使用kubectl命令来管理ServiceAccount，例如，要删除一个名为default的ServiceAccount，可以运行以下命令：

kubectl delete serviceaccount default

五、ServiceAccount最佳实践

在使用ServiceAccount时，有以下一些最佳实践：

  • 使用最少特权原则，只授予ServiceAccount最低限度的权限
  • 避免在ServiceAccount中存储敏感信息
  • 定期轮换ServiceAccount令牌
  • 使用ServiceAccount审计日志来跟踪ServiceAccount的活动

六、ServiceAccount常见问题解答

  • ServiceAccount与Pod有什么区别？
    • ServiceAccount是Kubernetes中一种特殊的服务账号，它允许Pod访问Kubernetes API。Pod是Kubernetes中运行的应用程序实例。
  • ServiceAccount令牌是什么？
    • ServiceAccount令牌是与ServiceAccount关联的一个令牌，Pod可以使用此令牌来访问Kubernetes API。
  • 如何授予ServiceAccount权限？
    • 可以通过在ServiceAccount上绑定Role或ClusterRole来授予ServiceAccount权限。
  • 如何查看ServiceAccount的权限？
    • 可以使用kubectl命令来查看ServiceAccount的权限，例如，要查看名为default的ServiceAccount的权限，可以运行以下命令：
kubectl get serviceaccount default -o yaml