使用来自不同命名空间的 Kubernetes 服务帐户

Question

我在命名空间 NS1 中创建了一个服务帐户 SA1，并为 SA1（GCP 中的工作负载标识）设置了完整配置。 我需要在来自不同命名空间的 pod 中使用服务帐户 SA1。 现在我在命名空间 NS1 中使用 SA1

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
  namespace: NS1
spec:
  serviceAccountName: SA1

Answer 1

ServiceAccount 是 Kubernetes 中的命名空间资源，这意味着它只能从部署在同一命名空间中的 pod 中引用。

这是设计使然，命名空间充当您应用访问策略的逻辑容器，并且一个命名空间中的 pod 不应能够从另一个（可能不相关的）命名空间“窃取”服务帐户