30、Kubernetes安全与优化实践指南

Kubernetes安全与优化实践指南

1. 访问控制与ServiceAccount

为机器用户授予Kubernetes访问权限时，可以创建Kubernetes ServiceAccount，并在RBAC绑定的主体中引用它，而非直接使用用户。虽然有文档提到为人类用户设置ServiceAccount，让用户下载服务账户的证书与Kubernetes交互，但这种方式不推荐，因为它脱离了身份系统。例如，当开发者离职，其身份系统中的账户被停用，他们为ServiceAccount下载的令牌仍会有效。

更好的做法是正确配置身份联合，仅为人类用户使用User主体，这样当用户在身份系统中被停用时，其Kubernetes访问权限也会被撤销。像Google Cloud这样的托管平台能轻松实现这种集成，其他平台则可能需要一些设置。

Kubernetes ServiceAccounts适用于集群内的Pod需要访问Kubernetes API的情况。例如，创建一个Pod来监控另一个Deployment时，可以创建一个ServiceAccount作为RoleBinding的主体，并将该服务账户分配给Pod。Pod在进行API调用（包括使用kubectl）时可以使用该凭证。

操作步骤如下：
1. 创建ServiceAccount：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  namespace: my-namespace

2. 创建Ro