Container Service for Kubernetes:ServiceAccountトークンボリューム投影の使用

前提条件

• Kubernetes 1.20を実行するACKマネージドクラスター、ACK専用クラスター、またはACKサーバーレスクラスターが作成されます。 詳細については、「ACKマネージドクラスターの作成」、「ACK専用クラスターの作成」、および「ACKサーバーレスクラスターの作成」をご参照ください。

• ServiceAccountトークンボリューム予測機能は、クラスター作成プロセス中に有効になります。

  デフォルトでは、ServiceAccountトークンボリュームプロジェクション機能は、Kubernetes 1.22以降を実行するクラスターで有効になっています。 クラスターをアップグレードするには、「手動でACKクラスターをアップグレード」をご参照ください。

  APIサーバーとシステムコンポーネントのコントローラーマネージャーは、ServiceAccountトークンのボリューム予測をバインドする機能ゲートを自動的に有効にし、APIサーバーの起動パラメーターに次の設定を追加します。

  パラメーター	説明	デフォルト値	コンソール設定
  service-account-issuer	ServiceAccountトークンの発行者。トークンペイロードのissフィールドに対応します。	https:// kubernetes.de fault.svc	サポートされています。
  api-audiences	APIサーバーサービスのリクエストトークンを検証するために使用されるAPIの識別子。	https:// kubernetes.de fault.svc	サポートされています。 複数オーディエンスコンマで区切って設定できます (,) 。
  service-account-signing-key-file	トークンに署名する秘密キーのファイルパス。	/etc/kubernetes/pki/sa.key	サポートされていません。 デフォルト値: /etc/kubernetes/pki/sa.key。

手順1: ServiceAccountオブジェクトの作成

デフォルトでは、各名前空間にdefault ServiceAccountが付属しており、kubectl get serviceaccountsコマンドを実行して表示できます。 ポッドで実行されているプロセスに追加のIDを割り当てるには、次のコードを使用して新しいServiceAccountを作成します。

kubectl apply -f - <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: build-robot
EOF

ServiceAccountの作成後、kubectl get serviceaccounts/build-robot -o yamlコマンドを実行して、ServiceAccountの完全な情報を表示できます。

手順2: ServiceAccountトークンを使用するポッドアプリケーションのデプロイボリュームプロジェクション

ServiceAccountをボリュームとしてポッドにプロジェクトし、ポッド内のコンテナーがトークンを使用してクラスターのAPIサーバーにアクセスし、ServiceAccountで認証できるようにします。 たとえば、トークンのaudience、有効期限 (expirationSeconds) 、およびその他のプロパティを指定し、ポッドで実行されるアプリケーションにこれらを投影できます。

1. 次のサンプルコードでnginx.yamlという名前のファイルを作成します。 この構成では、ポッドがServiceAccountを使用し、audienceがvaultで、有効期限が2時間であることを指定します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
   spec:
     containers:
     - image: nginx
       name: nginx
       volumeMounts:
       - mountPath: /var/run/secrets/tokens
         name: vault-token
     serviceAccountName: build-robot
     volumes:
     - name: vault-token
       projected:
         sources:
         - serviceAccountToken:
             path: vault-token
             expirationSeconds: 7200
             audience: vault

2. 次のコマンドを実行して、ボリュームプロジェクションを使用するポッドで実行中のアプリケーションをデプロイします。

   kubectl apply -f nginx.yaml

3. ポッドにマウントされているトークンの有効期限を確認します。

   1. 次のコマンドを実行して、ポッドが期待どおりに実行されることを確認します。

      kubectl get pod nginx

      期待される出力:

      NAME    READY   STATUS    RESTARTS   AGE
      nginx   1/1     Running   0          3m15s

   2. ポッドのコンテナにマウントされたトークンをダウンロードします。

      kubectl exec -t nginx -- cat /var/run/secrets/tokens/vault-token > vault-token

   3. 次のコマンドを実行して、トークンの有効期限を取得します。

      cat vault-token |awk -F '.' '{print $2}' |base64 -d 2>/dev/null |jq  '.exp' | xargs -I {} date -d @{}

      サンプル出力：

      Mon  Aug 26 15:45:59 CST 2024