如何在 kubernetes 中創建服務帳戶時禁用創建令牌秘密創建？

Question

當我使用以下規范在 Kubernetes 中創建服務帳戶時

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: deploy-bot

它會自動創建以下帶有前綴deploy-bot-token-XXXX的秘密

$ kubectl get secret

NAME                                                      TYPE                                  DATA   AGE
default-token-lvq79                                       kubernetes.io/service-account-token   3      60m
deploy-bot-token-7gmnh                                    kubernetes.io/service-account-token   3      4m53s

有沒有一種方法可以在創建服務帳戶時禁用秘密令牌的自動創建？

Answer 1

您可以通過修改kube-controller-manager options來實現。

要傳遞給 controller 的標志是--controllers=-serviceaccount-token 。 它將禁用為服務帳戶創建令牌。

spec:
  containers:
  - command:
    - kube-controller-manager
    - --controllers=-serviceaccount-token
 [...]

在部署服務帳戶時進行此修改后：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: deploy-bot

$ kubectl get sa
NAME         SECRETS   AGE
default      1         14m
deploy-bot   0         3s

並檢查創建的秘密，您會注意到尚未創建秘密：

$ kubectl get secret
NAME                  TYPE                                  DATA   AGE
default-token-t4qnv   kubernetes.io/service-account-token   3      14m