CKS1.23 考试题整理（6）-Pod指定ServiceAccount

题目

Task

1. 在现有namespace qa中创建一个名为backend-sa的新ServiceAccount，

确保此ServiceAccount不自动挂载API凭据。

2. 使用 /cks/sa/pod1.yaml中的清单文件来创建一个Pod。

3. 最后，清理namespace backend中任何未使用的ServiceAccount。

自己的思考

Pod 关联service account ，然后service account 和clusterrole绑定，赋予一定的角色，不然pod就可以任意操作cluster，理解错了请指出，比如有些secrets是不能随便暴露给pod的~

参考链接

为 Pod 配置服务账户 | Kubernetes

解答

1

apiVersion: v1
kind: ServiceAccount
metadata:
  name: backend-sa
  namespace: qa
automountServiceAccountToken: false

2 

apiVersion: v1
kind: Pod
metadata:
  name: backend
  namespace: qa
spec:
  serviceAccountName: backend-sa //就加这一行，在链接里有
  containers:
  - image: nginx:1.9
    imagePullPolicy: IfNotPresent
    name: backend

3 查询下现有的serviceaccount，把没用的就删了

kubectl get sa -n qa