kubernetes - 服务帐户的最佳做法是什么？

Question

应该如何使用服务帐户？我们应该为每个容器创建一个服务帐户吗？为了对服务帐户进行分组，是否有等同于“用户组”的概念？

Answer 1

Pod使用服务帐户来访问Kubernetes API或Secrets。创建Pod后，它将获得一个服务帐户。同一 namespace 的default服务帐户会自动分配给Pod。可以在Pod的说明中指定。在这里您可以找到一些示例:Configure Service Accounts for Pods

How are service accounts supposed to be used?

如果要配置与默认权限不同的权限，则需要使用服务帐户。

Should we create one service account per container?

在Kubernetes中，Pod是一组一个或多个容器。
您可以创建一个服务帐户并将其分配给第一组Pod。之后，创建另一个具有不同权限的服务帐户，并将其分配给第二组Pod。

Is there any concept equivalent to "user group" in order to group service accounts?

没有这样的等效项。但是就“用户”，“组”，“角色”而言，我们可以说服务帐户就像Pod的“角色”。

有关更多信息，您可以浏览以下链接:

Service Accounts

Managing Service Accounts

Authenticating，由@KonstantinVustin在评论

中提供

Authorization Overview