K8S原来如此简单（八）ServiceAccount+RBAC

Python微信订餐小程序课程视频

https://edu.csdn.net/course/detail/36074

Python实战量化交易理财系统

https://edu.csdn.net/course/detail/35475目录

• ServiceAccount
• RBAC

正文

回到顶部## ServiceAccount

ServiceAccount是给运行在Pod的程序使用的身份认证，Pod容器的进程需要访问API Server时用的就是ServiceAccount账户。

ServiceAccount仅局限它所在的namespace，每个namespace创建时都会自动创建一个default service account。

创建Pod时，如果没有指定Service Account，Pod则会使用default Service Account。

通过以下命令可以查看我们前面创建chesterns这个namespace下的serviceaccount与对应的secret

kubectl describe pod -n chesterns
kubectl describe sa -n chesterns
kubectl describe secrets -n chesterns

通过以下命令查看serviceaccount挂载进容器内部的文件

kubectl exec -it chesterdeployment-cb855fb4b-5ksgd -n chesterns -- ls /var/run/secrets/kubernetes.io/serviceaccount/

• ca.crt：根证书，用于Client端验证API Server发送的证书
• namespace：标识这个service-account-token的作用域空间
• token：使用API Server私钥签名的JWT，用于访问API Server时，Server端的验证

自定义ServiceAccount

kubectl create sa chestersa -n chesterns
kubectl describe sa chestersa -n chesterns

通过指定serviceAccoun