Container Service for Kubernetes：使用ServiceAccount Token卷投影

前提條件

• 已建立ACK託管叢集、ACK專有叢集、ACK Serverless叢集，且叢集版本為1.20及以上。具體操作，請參見建立ACK託管叢集、建立ACK專有叢集、建立叢集。

• 已在建立叢集的過程中啟用ServiceAccount Token卷投影功能。

  1.22及以上版本的叢集預設啟用ServiceAccount Token卷投影功能，無需手動操作。如需升級叢集，請參見手動升級叢集。

  叢集的系統組件API Server和Controller Manager會自動開啟綁定ServiceAccount Token卷投影的特性門控，同時在API Server的啟動參數中增加以下配置。

  參數	說明	預設值	控制台配置
  service-account-issuer	ServiceAccount Token中的簽發身份，即Token payload中的iss欄位。	https://kubernetes.default.svc	支援。
  api-audiences	合法的請求Token身份，用於API Server服務端認證請求Token是否合法。	https://kubernetes.default.svc	支援。可以配置多個audience，通過英文半形逗號,分割。
  service-account-signing-key-file	Token簽名私密金鑰檔案路徑。	/etc/kubernetes/pki/sa.key	不支援。預設使用/etc/kubernetes/pki/sa.key，無需配置。

步驟一：建立一個ServiceAccount對象

每個命名空間會存在一個預設的default ServiceAccount，您可以通過kubectl get serviceaccounts命令來查看。如果您需要為Pod中啟動並執行進程提供其他身份標識，您可以參見以下代碼建立一個新的ServiceAccount。

kubectl apply -f - <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: build-robot
EOF

ServiceAccount建立完成後，您可以執行kubectl get serviceaccounts/build-robot -o yaml命令查看該ServiceAccount的完整資訊。

步驟二：部署使用ServiceAccount Token卷投影的Pod應用

您可以將該ServiceAccount以卷的形式投射到Pod中，Pod中的容器便可以使用該Token訪問叢集API Server，並使用該ServiceAccount來進行身分識別驗證。例如，您可以指定Token的audience、有效期間限（expirationSeconds）等屬性，將其投射到一個Pod應用中。

1. 使用以下範例程式碼，建立nginx.yaml檔案，其中Pod聲明了需要使用audience為vault且有效期間限為2個小時的ServiceAccount。

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
   spec:
     containers:
     - image: nginx
       name: nginx
       volumeMounts:
       - mountPath: /var/run/secrets/tokens
         name: vault-token
     serviceAccountName: build-robot
     volumes:
     - name: vault-token
       projected:
         sources:
         - serviceAccountToken:
             path: vault-token
             expirationSeconds: 7200
             audience: vault

2. 執行以下命令，部署使用卷投影的Pod應用。

   kubectl apply -f nginx.yaml

3. 驗證該Pod中掛載的Token的有效期間。

   1. 執行以下命令，確認Pod已正常運行。

      kubectl get pod nginx

      預期輸出：

      NAME    READY   STATUS    RESTARTS   AGE
      nginx   1/1     Running   0          3m15s

   2. 下載Pod容器中掛載的Token。

      kubectl exec -t nginx -- cat /var/run/secrets/tokens/vault-token > vault-token

   3. 執行以下命令，擷取Token到期時間。

      cat vault-token |awk -F '.' '{print $2}' |base64 -d 2>/dev/null |jq  '.exp' | xargs -I {} date -d @{}

      樣本輸出：

      一  8 26 15:45:59 CST 2024