kubernetes - Pod 引用的服务帐户的用途是什么？

Question

我很难理解它的用途是什么？

例如在以下 pod 定义中:

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  serviceAccountName: build-robot

服务帐户何时“重要”？它参与了哪些交互？

https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/解释了如何设置一个非默认值，但没有真正提到改变了哪些效果/交互——或者为什么你需要这样做？

它真正给出的唯一提示是本节:

Processes in containers inside pods can also contact the apiserver. When they do, they are authenticated as a particular Service Account (for example, default).

这没有任何意义。当一个任意进程向 kubernetes API 服务器发送 HTTP 请求时，它是如何神奇地“被认证”的？

有安全优势吗？如果有，它们是什么？

Answer 1

需要与 Kubernetes API Server 交互的 Pod 需要一个服务帐户来向 Kubernetes API Server 进行身份验证。

为了与 API 服务器通信，Pod 使用包含身份验证 token 的 ServiceAccount。角色(例如:列出给定命名空间内的所有 Pod 的权限)或 ClusterRole(例如:读取整个集群内的所有 Secret 的权限)，然后可以绑定(bind)到此 ServiceAccount。分别使用 RoleBinding 或 ClusterRoleBinding，因此 ServiceAccount 有权执行这些操作。

许多在集群中运行的应用程序(阅读:在 Pods 中运行)需要与 API 服务器通信。其中包括在控制平面中运行的进程(调度程序、 Controller 管理器、代理等)，以及需要对集群执行某种形式的管理的所有应用程序，例如管理自定义资源的 Controller 。