Kubernetes神话 #06：Kubernetes Pods总是需要服务账户
原文英文，约300词，阅读约需1分钟。
📝
内容提要
在Kubernetes中，每个pod默认都有服务账户，用于身份验证和安全控制。即使pod不需要与API服务器交互，也可以通过禁用token挂载来限制权限，提高安全性。
🔎
延伸解读
服务账户的必要性
在Kubernetes中，服务账户的存在并非绝对必要，只有在pod需要与API服务器交互时才真正需要。然而，Kubernetes默认为每个pod分配服务账户，以确保其身份。这种设计旨在增强安全性，确保即使不使用服务账户，pod也有身份标识。
安全性与权限控制
虽然每个pod都有服务账户，但可以通过禁用token挂载来限制其权限。这种做法可以有效减少集群的攻击面，尤其是在pod不需要与API交互的情况下。用户应关注如何在pod级别和服务账户级别进行权限设置，以实现更细粒度的安全控制。
RBAC的最佳实践
Kubernetes遵循基于角色的访问控制（RBAC）最佳实践，限制工作负载在集群中的操作。这意味着在设计集群时，合理配置RBAC策略至关重要，以确保只有必要的权限被授予，从而降低潜在的安全风险。
❓
Q&A
Kubernetes中的每个pod都需要服务账户吗？
每个pod默认都有服务账户，但只有在需要与Kubernetes API服务器通信时才需要它。
如何提高Kubernetes中pod的安全性？
可以通过禁用token挂载来限制服务账户的权限，从而提高安全性。
在Kubernetes中，服务账户的作用是什么？
服务账户用于身份验证和安全控制，确保每个pod都有身份。
如何在Kubernetes中禁用token挂载？
可以在pod级别和服务账户级别禁用token挂载，pod级别优先于服务账户级别。
Kubernetes如何限制pod的权限？
Kubernetes遵循基于角色的访问控制（RBAC）最佳实践，限制工作负载在集群中的操作。
如果pod不需要与API交互，服务账户还有用吗？
即使pod不需要与API交互，它仍然会获得默认服务账户，但可以通过禁用token来减少权限。
🏷️
