kubernetes - 容器禁用服务帐户

Question

我有一些容器将在其中运行用户代码。为了加强安全性，我想阻止他们通过服务帐户机制访问kubernetes api，但又不想全局关闭它。文档说您可以切换服务帐户名称，但只能切换为另一个有效名称。有没有我错过的替代方案？能限制账号为0权限吗？您可以用另一个空的卷来重载吗？还有其他想法吗？

Answer 1

在 Kubernetes 1.6+ 中，您可以禁用在 Pod 上挂载服务帐户:

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  automountServiceAccountToken: false
  ...

参见https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/