Kubernetes Blog
·
Kubernetes v1.34：服务账户令牌集成用于镜像拉取升级至测试版
内容提要
Kubernetes v1.34将服务账户令牌集成升级至测试版，减少对长期凭证的依赖。新特性允许通过工作负载特定的服务账户令牌获取注册凭证，增强了安全性和临时性。测试版引入了必需的cacheType字段和更强的安全隔离，确保只有授权的Pods能够访问相应的镜像。
关键要点
-
Kubernetes v1.34将服务账户令牌集成升级至测试版，减少对长期凭证的依赖。
-
新特性允许通过工作负载特定的服务账户令牌获取注册凭证，增强了安全性和临时性。
-
测试版引入了必需的cacheType字段，确保正确的缓存行为。
-
提供两种缓存策略：Token和ServiceAccount，以适应不同的凭证生命周期需求。
-
增强了容器镜像的安全隔离，确保Pods只能访问被授权的镜像。
-
系统跟踪每个拉取镜像的ServiceAccount身份，确保授权检查。
-
管理员可以通过删除和重新创建ServiceAccount来撤销对已拉取镜像的访问。
-
Kubelet只能请求授权受众的令牌，增强了安全性。
-
迁移到测试版需要添加cacheType字段并选择合适的缓存策略。
-
Kubernetes v1.35预计将继续保持该特性在测试版状态，并欢迎社区反馈。
延伸解读
安全性提升
Kubernetes v1.34的服务账户令牌集成显著提升了安全性，减少了对长期凭证的依赖。通过使用工作负载特定的令牌，系统能够确保只有授权的Pods才能访问相应的镜像，从而降低了潜在的安全风险。
缓存策略选择
新版本引入了两种缓存策略：Token和ServiceAccount。选择合适的缓存策略对于凭证的生命周期管理至关重要。管理员需根据工作负载的需求，合理配置缓存类型，以确保系统的高效性和安全性。
迁移注意事项
从alpha版本迁移到beta版本时，必须添加cacheType字段并选择合适的缓存策略。管理员应仔细检查RBAC配置，以确保令牌受众的正确限制，避免潜在的权限问题。
延伸问答
Kubernetes v1.34的服务账户令牌集成有什么新特性？
Kubernetes v1.34的服务账户令牌集成升级至测试版，允许通过工作负载特定的服务账户令牌获取注册凭证，增强了安全性和临时性，并引入了必需的cacheType字段。
如何选择合适的缓存策略？
可以选择两种缓存策略：Token（按服务账户令牌缓存凭证）和ServiceAccount（按服务账户身份缓存凭证），具体选择取决于凭证的生命周期需求。
如何撤销对已拉取镜像的访问？
管理员可以通过删除和重新创建ServiceAccount来撤销对已拉取镜像的访问，这会改变UID并使之前的缓存访问失效。
Kubernetes v1.34如何增强容器镜像的安全性？
Kubernetes v1.34通过确保Pods只能访问被授权的镜像，增强了容器镜像的安全隔离，防止未授权访问敏感镜像。
迁移到Kubernetes v1.34的测试版需要做哪些更改？
迁移到测试版需要添加cacheType字段，并选择合适的缓存策略，同时确保RBAC配置能正确限制令牌受众。
Kubernetes v1.35对服务账户令牌集成有什么计划？
Kubernetes v1.35预计将继续保持服务账户令牌集成在测试版状态，并欢迎社区反馈。
