Kubernetes Blog
·
Kubernetes v1.35：向CSI驱动程序传递服务账户令牌的更好方法
内容提要
Kubernetes v1.35引入了一种新机制，通过Secrets字段传递服务账户令牌，解决了令牌在volume_context中泄露的问题。CSI驱动程序可选择使用此方法，以提高安全性并避免记录敏感信息。
关键要点
-
Kubernetes v1.35引入了一种新机制，通过Secrets字段传递服务账户令牌，解决了令牌在volume_context中泄露的问题。
-
CSI驱动程序可以选择使用此方法，以提高安全性并避免记录敏感信息。
-
现有的TokenRequests功能允许CSI驱动程序请求服务账户令牌，但通过volume_context字段传递并不理想。
-
CSI驱动程序需要实现自己的清理逻辑，导致不同驱动程序之间的不一致性。
-
Kubernetes v1.35引入的选择机制允许CSI驱动程序选择接收服务账户令牌的方式。
-
CSI驱动程序可以在其CSIDriver规格中设置新字段以选择Secrets交付。
-
CSIServiceAccountTokenSecrets功能门控默认启用，但默认情况下不改变现有行为。
-
CSI驱动程序作者需要添加回退逻辑，以兼容旧的和新的令牌接收方式。
-
在集群中启用此功能时，需要遵循特定的顺序以避免破坏现有卷。
-
采用此功能可以消除意外记录服务账户令牌的风险，并使用CSI规范指定的字段处理敏感数据。
-
Kubernetes SIG Storage鼓励CSI驱动程序作者采用此功能，并提供迁移体验的反馈。
延伸解读
新机制的安全性提升
Kubernetes v1.35引入的通过Secrets字段传递服务账户令牌的新机制，显著提高了安全性。传统的volume_context字段并不适合存放敏感信息，可能导致令牌意外记录。新机制确保令牌在传递过程中更安全，减少了潜在的安全风险。
兼容性与迁移策略
在实施新机制时，CSI驱动程序需要添加回退逻辑，以确保与旧版驱动的兼容性。这种逐步迁移的策略允许开发者在不影响现有功能的情况下，逐步适应新特性，降低了升级过程中的风险。
功能启用的注意事项
启用CSIServiceAccountTokenSecrets功能时，需遵循特定的顺序，以避免破坏现有卷。确保驱动程序的DaemonSet和CSIDriver对象分开更新，避免在旧版本驱动仍在运行时进行CSIDriver的更新，以防止卷挂载失败。
延伸问答
Kubernetes v1.35引入了什么新机制来处理服务账户令牌？
Kubernetes v1.35引入了一种通过Secrets字段传递服务账户令牌的新机制，以提高安全性并避免令牌泄露。
CSI驱动程序如何选择接收服务账户令牌的方式？
CSI驱动程序可以在其CSIDriver规格中设置新字段serviceAccountTokenInSecrets，以选择通过Secrets字段接收服务账户令牌。
使用Kubernetes v1.35的新机制有什么好处？
采用新机制可以消除意外记录服务账户令牌的风险，并使用CSI规范指定的字段处理敏感数据。
CSI驱动程序在迁移到新机制时需要注意什么？
CSI驱动程序需要添加回退逻辑，以兼容旧的和新的令牌接收方式，并遵循特定的顺序进行集群升级。
Kubernetes v1.35的CSIServiceAccountTokenSecrets功能默认状态是什么？
CSIServiceAccountTokenSecrets功能门控默认启用，但默认情况下不改变现有行为。
为什么CSI驱动程序需要实现自己的清理逻辑？
因为不同CSI驱动程序之间的实现不一致，导致需要各自实现清理逻辑以避免令牌泄露。
