Kubernetes中的ServiceAccount及其用途

用心去追梦

于 2024-10-12 09:51:41 发布

阅读量401

点赞数 5

文章标签： kubernetes 容器云原生

本文链接：https://blog.csdn.net/qq_33240556/article/details/142870151

版权

在Kubernetes中，ServiceAccount 是一种用于为Pod中的进程提供身份标识的对象。每个运行在集群中的Pod都会被关联到一个ServiceAccount，这使得Pod可以与API服务器进行交互，并且能够访问集群内的其他资源。ServiceAccount 的主要用途包括：

身份验证：
- ServiceAccount 为Pod提供了身份，这个身份可以通过Kubernetes的认证机制（如Token认证）来使用。
- 每个ServiceAccount都有一组对应的Secret，这些Secret包含了一个JWT令牌，Pod可以使用这个令牌向API服务器证明自己的身份。
授权：
- 一旦Pod通过ServiceAccount的身份进行了认证，接下来就需要根据RBAC（基于角色的访问控制）规则来决定Pod可以执行哪些操作。
- 可以给ServiceAccount绑定特定的角色或角色绑定（RoleBinding/ClusterRoleBinding），从而控制它所关联的Pod能做什么。
安全性：
- 使用ServiceAccount可以帮助你遵循最小权限原则，即只给Pod赋予完成其工作所需的最小权限。
- 这样可以减少因Pod被攻破而可能导致的安全风险。

创建和配置 ServiceAccount

默认的 ServiceAccount

在大多数情况下，当你创建一个新的命名空间时，Kubernetes会自动创建一个名为default的ServiceAccount。
如果没有特别指定，新创建的Pod将会默认关联到这个default的ServiceAccount。

自定义 ServiceAccount

如果你需要更细粒度的控制，你可以创建自定义的ServiceAccount并将其分配给特定的Pod。

例如，创建一个YAML文件my-service-account.yaml：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  namespace: default

然后使用kubectl apply命令来创建它：

kubectl apply -f my-service-account.yaml

将 ServiceAccount 关联到 Pod

在Pod的定义中，你可以通过serviceAccountName字段来指定要使用的ServiceAccount。

例如：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  serviceAccountName: my-service-account
  containers:
  - name: my-container
    image: my-image

示例：授予特定权限

假设你想让你的应用能够列出所有命名空间下的Pod，你可以这样做：

创建一个ClusterRole，它定义了允许的操作：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pod-list-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["list"]

创建一个ClusterRoleBinding，将上述ClusterRole绑定到你的ServiceAccount：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: read-pods-global
subjects:
- kind: ServiceAccount
  name: my-service-account
  namespace: default
roleRef:
  kind: ClusterRole
  name: pod-list-role
  apiGroup: rbac.authorization.k8s.io