Kubernetes 服务账号深度解析：原理与实践指南

蒋一南

于 2025-06-10 09:00:49 发布

阅读量382

点赞数 5

本文链接：https://blog.youkuaiyun.com/gitblog_00547/article/details/148548708

版权

Kubernetes 服务账号深度解析：原理与实践指南

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

引言

在 Kubernetes 集群中，服务账号（ServiceAccount）是一个至关重要的安全概念。作为集群内部非人类实体的身份标识，服务账号为 Pod、系统组件以及外部服务提供了安全的身份认证机制。本文将深入探讨 Kubernetes 服务账号的核心原理、典型应用场景以及最佳实践。

服务账号基础概念

定义与特性

服务账号是 Kubernetes 中专门为工作负载设计的身份标识机制，具有以下关键特性：

名字空间隔离：每个服务账号都隶属于特定的 Kubernetes 名字空间，实现了资源的逻辑隔离
轻量级设计：服务账号作为 API 资源对象，创建和管理都非常高效
身份认证：为集群内外的实体提供可验证的身份凭证

与用户账号的对比

| 特性 | 服务账号 | 用户账号 | |---------------------|----------------------------|--------------------------| | 目标用户 | 工作负载和自动化系统 | 人类用户 | | 存储位置 | Kubernetes API 对象 | 外部身份系统 | | 典型用途 | Pod 身份认证、系统组件通信 | 管理员操作、开发者交互 | | 权限管理 | 通过 RBAC 精细控制 | 通常结合外部 IAM 系统 |

服务账号工作机制

默认服务账号

Kubernetes 在创建每个名字空间时，都会自动生成一个名为 default 的服务账号。这个账号具有以下特点：

初始权限仅限于基本的 API 发现操作
当 Pod 未指定服务账号时自动使用
被删除后会被控制平面自动重建

令牌管理演进

Kubernetes 对服务账号令牌的管理经历了重要演进：

静态令牌（1.22 之前）：
- 长期有效的 Secret 形式存储
- 存在安全隐患，需要手动轮换
投射卷令牌（1.20+）：
- 通过 TokenRequest API 获取短期令牌
- 支持自动轮换，安全性更高
- 作为投射卷挂载到 Pod

服务账号实践指南

创建与配置

创建服务账号的基本流程：

# 创建服务账号
kubectl create serviceaccount my-serviceaccount -n my-namespace

最佳实践建议：

为每个独立的工作负载创建专用服务账号
遵循最小权限原则分配权限
避免使用默认服务账号进行关键操作

权限管理

通过 RBAC 为服务账号授权：

# 示例：创建Role和RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: my-namespace
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "watch", "list"]

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: my-namespace
  name: read-pods
subjects:
- kind: ServiceAccount
  name: my-serviceaccount
  namespace: my-namespace
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

跨名字空间访问

实现跨名字空间访问的步骤：

在目标名字空间创建 Role 定义所需权限
创建 RoleBinding 将角色绑定到源名字空间的服务账号
确保服务账号被正确分配给 Pod

高级应用场景

私有镜像仓库认证

通过服务账号配置 imagePullSecret：

# 创建docker-registry secret
kubectl create secret docker-registry my-registry-key \
  --docker-server=<私有仓库地址> \
  --docker-username=<用户名> \
  --docker-password=<密码>

# 将secret添加到服务账号
kubectl patch serviceaccount default \
  -p '{"imagePullSecrets": [{"name": "my-registry-key"}]}'