31、Kubernetes与Istio：微服务安全部署指南

Kubernetes与Istio：微服务安全部署指南

1. Kubernetes服务账户与角色访问控制

在Kubernetes中，服务账户是一种重要的安全机制。一个服务账户可以分配给一个或多个Pod，但一个Pod在任何时候只能绑定到一个服务账户。

1.1 创建服务账户并关联Pod

我们可以使用以下 kubectl 命令创建一个名为 ecomm 的服务账户：

> kubectl create serviceaccount ecomm
serviceaccount/ecomm created

创建服务账户时，Kubernetes会自动创建一个令牌密钥并将其附加到该服务账户。若要让STS Deployment下的所有Pod都使用 ecomm 服务账户，可按以下步骤操作：
1. 编辑 chapter11/sample01/sts.deployment.with.service.account.yaml 文件，在 spec 元素下添加 serviceAccountName 元素：

spec:
  serviceAccountName: ecomm
  containers:
  - name: sts
    image: prabath/secure-sts-ch10:v1
    imagePull