主页 / server / 问题 / 1164636
Accepted
Bob5421
Asked: 2024-09-01 14:59:19 +0800 CST

与 k8s 服务帐户关联的 JWT 令牌

  • 772

看看这个 yaml 清单：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: myserviceaccount
  namespace: default
---
apiVersion: v1
kind: Secret
metadata:
  name: myserviceaccount-token
  namespace: default
  annotations:
    kubernetes.io/service-account.name: myserviceaccount
type: kubernetes.io/service-account-token

我将此清单应用于我的 k8s 集群：

$ kubectl apply -f myserviceaccount.yaml

当我尝试这个命令时：

$ kubectl -n default get service account/myserviceaccount

-> 我看到秘密数量为 0

我应该至少看到 1 个 myserviceaccount-token 的密钥。为什么我看不到这个密钥？

谢谢

kubernetes

1 个回答

  1. Best Answer

    参考LU Andy 的Medium 博客

    • 从 Kubernetes 1.24 版开始，Kubernetes 为 SA 创建的默认令牌不再是长期有效的。仅创建服务帐户资源。
    • 旧式 SA 令牌是长期有效的，这意味着这些令牌永远不会过期，除非您删除服务帐户，否则 Kubernetes 令牌控制器将删除所有相应的 SA 令牌 Secret 对象。

    根据此Github 链接

    LegacyServiceAccountTokenNoAutoGeneration 功能门控处于测试阶段，默认情况下启用。启用后，包含服务帐户令牌的 Secret API 对象将不再为每个 ServiceAccount 自动生成。使用 TokenRequest API获取服务帐户令牌，或者如果需要非过期令牌，请按照本指南为令牌控制器创建一个 Secret API 对象，以使用服务帐户令牌进行填充。（#108309，@zshihang）

    由于您使用的是 1.24 或更高版本，因此myserviceaccount-token不会自动生成。在 k8s 1.24 或更高版本中，有很多方法可以为您的服务帐户获取令牌。您需要使用上述Medium 博客中描述的方法之一来请求令牌。

    • 0

相关问题