Kubernetes 1.37 推出 Pod Certificates 和 Cluster Trust Bundles，内置 X.509 证书签发，用于 TLS/mTLS，解决服务账户 JWT 的 bearer token 安全问题。该机制通过非对称签名实现持有证明，架构灵活，支持多种证书类型，但需安装第三方签名器（如 Tinycert）试用。