使用ServiceAccount Token卷投影

前提条件

• 已创建ACK托管集群、ACK专有集群、ACK Serverless集群，且集群版本为1.20及以上。具体操作，请参见创建ACK托管集群、创建ACK专有集群（已停止新建）、创建集群。

• 已在创建集群的过程中启用ServiceAccount Token卷投影功能。

  1.22及以上版本的集群默认启用ServiceAccount Token卷投影功能，无需手动操作。如需升级集群，请参见手动升级集群。

  集群的系统组件API Server和Controller Manager会自动开启绑定ServiceAccount Token卷投影的特性门控，同时在API Server的启动参数中增加以下配置。

  参数	说明	默认值	控制台配置
  service-account-issuer	ServiceAccount Token中的签发身份，即Token payload中的iss字段。	https://kubernetes.default.svc	支持。
  api-audiences	合法的请求Token身份，用于API Server服务端认证请求Token是否合法。	https://kubernetes.default.svc	支持。可以配置多个audience，通过英文半角逗号,分割。
  service-account-signing-key-file	Token签名私钥文件路径。	/etc/kubernetes/pki/sa.key	不支持。默认使用/etc/kubernetes/pki/sa.key，无需配置。

步骤一：创建一个ServiceAccount对象

每个命名空间会存在一个默认的default ServiceAccount，您可以通过kubectl get serviceaccounts命令来查看。如果您需要为Pod中运行的进程提供其他身份标识，您可以参见以下代码创建一个新的ServiceAccount。

kubectl apply -f - <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: build-robot
EOF

ServiceAccount创建完成后，您可以执行kubectl get serviceaccounts/build-robot -o yaml命令查看该ServiceAccount的完整信息。

步骤二：部署使用ServiceAccount Token卷投影的Pod应用

您可以将该ServiceAccount以卷的形式投射到Pod中，Pod中的容器便可以使用该Token访问集群API Server，并使用该ServiceAccount来进行身份验证。例如，您可以指定Token的audience、有效期限（expirationSeconds）等属性，将其投射到一个Pod应用中。

1. 使用以下示例代码，创建nginx.yaml文件，其中Pod声明了需要使用audience为vault且有效期限为2个小时的ServiceAccount。

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
   spec:
     containers:
     - image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
       name: nginx
       volumeMounts:
       - mountPath: /var/run/secrets/tokens
         name: vault-token
     serviceAccountName: build-robot
     volumes:
     - name: vault-token
       projected:
         sources:
         - serviceAccountToken:
             path: vault-token
             expirationSeconds: 7200
             audience: vault

2. 执行以下命令，部署使用卷投影的Pod应用。

   kubectl apply -f nginx.yaml

3. 验证该Pod中挂载的Token的有效期。

   1. 执行以下命令，确认Pod已正常运行。

      kubectl get pod nginx

      预期输出：

      NAME    READY   STATUS    RESTARTS   AGE
      nginx   1/1     Running   0          3m15s

   2. 下载Pod容器中挂载的Token。

      kubectl exec -t nginx -- cat /var/run/secrets/tokens/vault-token > vault-token

   3. 执行以下命令，获取Token过期时间。

      cat vault-token |awk -F '.' '{print $2}' |base64 -d 2>/dev/null |jq  '.exp' | xargs -I {} date -d @{}

      示例输出：

      一  8 26 15:45:59 CST 2024