使用來自不同命名空間的 Kubernetes 服務帳戶

Question

我在命名空間 NS1 中創建了一個服務帳戶 SA1，並為 SA1（GCP 中的工作負載標識）設置了完整配置。 我需要在來自不同命名空間的 pod 中使用服務帳戶 SA1。 現在我在命名空間 NS1 中使用 SA1

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
  namespace: NS1
spec:
  serviceAccountName: SA1

Answer 1

ServiceAccount 是 Kubernetes 中的命名空間資源，這意味着它只能從部署在同一命名空間中的 pod 中引用。

這是設計使然，命名空間充當您應用訪問策略的邏輯容器，並且一個命名空間中的 pod 不應能夠從另一個（可能不相關的）命名空間“竊取”服務帳戶