Service Account

    • User account 是为人设计的，而 service account 则是为 Pod 中的进程调用 Kubernetes API 而设计；
    • 每个 namespace 都会自动创建一个 default service account
    • Token controller 检测 service account 的创建，并为它们创建 secret
    • 开启 ServiceAccount Admission Controller 后
      • 每个 Pod 在创建后都会自动设置 为 default（除非指定了其他 ServiceAccout）
      • 如果 Pod 没有指定 ImagePullSecrets，则把 service account 的 ImagePullSecrets 加到 Pod 中
      • 每个 container 启动后都会挂载该 service account 的 token 和 ca.crt 到
    • 配置 --authorization-mode=RBAC 和
    • 配置 --authorization-rbac-super-user=admin