ServiceAccount

ServiceAccount, pod'ların (insanların değil) API'ye erişim kimliğidir. Her namespace'te bir default ServiceAccount vardır ve pod belirtilmezse onu kullanır. Bir uygulama API'ye erişecekse (ör. pod listeleyen bir operator), kendine özel bir ServiceAccount ve yalnızca gereken izinler verilir:

kubectl create serviceaccount api -n dev

    spec:
      serviceAccountName: api
      containers:
        - name: api
          image: api:1.0

Kubernetes, pod'a kısa ömürlü bir belirteci /var/run/secrets/kubernetes.io/serviceaccount/token dosyasında otomatik bağlar.

ServiceAccount, RoleBinding'de kind: ServiceAccount özne olarak bağlanır; komut satırında namespace:ad biçiminde yazılır. İzin system:serviceaccount:namespace:ad kimliğiyle sınanır:

kubectl create rolebinding api-pod-okuyucu --role=pod-okuyucu --serviceaccount=dev:api -n dev
kubectl auth can-i list pods -n dev --as system:serviceaccount:dev:api
yes