kubernetes - 在 kubernetes 中创建服务帐户时如何禁用 token secret 创建？

Question

当我使用以下规范在 Kubernetes 中创建服务帐户时

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: deploy-bot

它会自动创建以下带有前缀 deploy-bot-token-XXXX 的 secret

$ kubectl get secret

NAME                                                      TYPE                                  DATA   AGE
default-token-lvq79                                       kubernetes.io/service-account-token   3      60m
deploy-bot-token-7gmnh                                    kubernetes.io/service-account-token   3      4m53s

有没有一种方法可以在创建服务帐户时禁用自动创建 secret token ？

Answer 1

可以通过修改kube-controller-manager options来实现.

要传递给 Controller ​​的标志是--controllers=-serviceaccount-token。它将禁用为服务帐户创建 token 。

spec:
  containers:
  - command:
    - kube-controller-manager
    - --controllers=-serviceaccount-token
 [...]

在部署服务帐户时进行此修改后:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: deploy-bot

$ kubectl get sa
NAME         SECRETS   AGE
default      1         14m
deploy-bot   0         3s

并检查创建的 secret ，您会注意到尚未创建 secret :

$ kubectl get secret
NAME                  TYPE                                  DATA   AGE
default-token-t4qnv   kubernetes.io/service-account-token   3      14m