Kubernetes Blog
·
Kubernetes v1.34：服务账户令牌集成用于镜像拉取升级至测试版
💡
原文英文，约1400词，阅读约需5分钟。
📝
内容提要
Kubernetes v1.34将服务账户令牌集成升级至测试版，减少对长期凭证的依赖。新特性允许通过工作负载特定的服务账户令牌获取注册凭证，增强了安全性和临时性。测试版引入了必需的cacheType字段和更强的安全隔离，确保只有授权的Pods能够访问相应的镜像。
🎯
关键要点
- Kubernetes v1.34将服务账户令牌集成升级至测试版，减少对长期凭证的依赖。
- 新特性允许通过工作负载特定的服务账户令牌获取注册凭证，增强了安全性和临时性。
- 测试版引入了必需的cacheType字段，确保正确的缓存行为。
- 提供两种缓存策略：Token和ServiceAccount，以适应不同的凭证生命周期需求。
- 增强了容器镜像的安全隔离，确保Pods只能访问被授权的镜像。
- 系统跟踪每个拉取镜像的ServiceAccount身份，确保授权检查。
- 管理员可以通过删除和重新创建ServiceAccount来撤销对已拉取镜像的访问。
- Kubelet只能请求授权受众的令牌，增强了安全性。
- 迁移到测试版需要添加cacheType字段并选择合适的缓存策略。
- Kubernetes v1.35预计将继续保持该特性在测试版状态，并欢迎社区反馈。
❓
延伸问答
Kubernetes v1.34的服务账户令牌集成有什么新特性？
Kubernetes v1.34的服务账户令牌集成升级至测试版，允许通过工作负载特定的服务账户令牌获取注册凭证，增强了安全性和临时性，并引入了必需的cacheType字段。
如何选择合适的缓存策略？
可以选择两种缓存策略：Token（按服务账户令牌缓存凭证）和ServiceAccount（按服务账户身份缓存凭证），具体选择取决于凭证的生命周期需求。
如何撤销对已拉取镜像的访问？
管理员可以通过删除和重新创建ServiceAccount来撤销对已拉取镜像的访问，这会改变UID并使之前的缓存访问失效。
Kubernetes v1.34如何增强容器镜像的安全性？
Kubernetes v1.34通过确保Pods只能访问被授权的镜像，增强了容器镜像的安全隔离，防止未授权访问敏感镜像。
迁移到Kubernetes v1.34的测试版需要做哪些更改？
迁移到测试版需要添加cacheType字段，并选择合适的缓存策略，同时确保RBAC配置能正确限制令牌受众。
Kubernetes v1.35对服务账户令牌集成有什么计划？
Kubernetes v1.35预计将继续保持服务账户令牌集成在测试版状态，并欢迎社区反馈。
➡️
