Kubernetes Blog
·
Kubernetes v1.35：向CSI驱动程序传递服务账户令牌的更好方法
💡
原文英文，约1100词，阅读约需4分钟。
📝
内容提要
Kubernetes v1.35引入了一种新机制，通过Secrets字段传递服务账户令牌，解决了令牌在volume_context中泄露的问题。CSI驱动程序可选择使用此方法，以提高安全性并避免记录敏感信息。
🎯
关键要点
- Kubernetes v1.35引入了一种新机制，通过Secrets字段传递服务账户令牌，解决了令牌在volume_context中泄露的问题。
- CSI驱动程序可以选择使用此方法，以提高安全性并避免记录敏感信息。
- 现有的TokenRequests功能允许CSI驱动程序请求服务账户令牌，但通过volume_context字段传递并不理想。
- CSI驱动程序需要实现自己的清理逻辑，导致不同驱动程序之间的不一致性。
- Kubernetes v1.35引入的选择机制允许CSI驱动程序选择接收服务账户令牌的方式。
- CSI驱动程序可以在其CSIDriver规格中设置新字段以选择Secrets交付。
- CSIServiceAccountTokenSecrets功能门控默认启用，但默认情况下不改变现有行为。
- CSI驱动程序作者需要添加回退逻辑，以兼容旧的和新的令牌接收方式。
- 在集群中启用此功能时，需要遵循特定的顺序以避免破坏现有卷。
- 采用此功能可以消除意外记录服务账户令牌的风险，并使用CSI规范指定的字段处理敏感数据。
- Kubernetes SIG Storage鼓励CSI驱动程序作者采用此功能，并提供迁移体验的反馈。
❓
延伸问答
Kubernetes v1.35引入了什么新机制来处理服务账户令牌？
Kubernetes v1.35引入了一种通过Secrets字段传递服务账户令牌的新机制，以提高安全性并避免令牌泄露。
CSI驱动程序如何选择接收服务账户令牌的方式？
CSI驱动程序可以在其CSIDriver规格中设置新字段serviceAccountTokenInSecrets，以选择通过Secrets字段接收服务账户令牌。
使用Kubernetes v1.35的新机制有什么好处？
采用新机制可以消除意外记录服务账户令牌的风险，并使用CSI规范指定的字段处理敏感数据。
CSI驱动程序在迁移到新机制时需要注意什么？
CSI驱动程序需要添加回退逻辑，以兼容旧的和新的令牌接收方式，并遵循特定的顺序进行集群升级。
Kubernetes v1.35的CSIServiceAccountTokenSecrets功能默认状态是什么？
CSIServiceAccountTokenSecrets功能门控默认启用，但默认情况下不改变现有行为。
为什么CSI驱动程序需要实现自己的清理逻辑？
因为不同CSI驱动程序之间的实现不一致，导致需要各自实现清理逻辑以避免令牌泄露。
➡️
