前提條件

• 已創(chuàng)建ACK托管集群、ACK專有集群、ACK Serverless集群，且集群版本為1.20及以上。具體操作，請(qǐng)參見創(chuàng)建ACK托管集群、創(chuàng)建ACK專有集群、創(chuàng)建集群。

• 已在創(chuàng)建集群的過程中啟用ServiceAccount Token卷投影功能。

  1.22及以上版本的集群默認(rèn)啟用ServiceAccount Token卷投影功能，無需手動(dòng)操作。如需升級(jí)集群，請(qǐng)參見手動(dòng)升級(jí)集群。

  集群的系統(tǒng)組件API Server和Controller Manager會(huì)自動(dòng)開啟綁定ServiceAccount Token卷投影的特性門控，同時(shí)在API Server的啟動(dòng)參數(shù)中增加以下配置。

  參數(shù)	說明	默認(rèn)值	控制臺(tái)配置
  service-account-issuer	ServiceAccount Token中的簽發(fā)身份，即Token payload中的iss字段。	https://kubernetes.default.svc	支持。
  api-audiences	合法的請(qǐng)求Token身份，用于API Server服務(wù)端認(rèn)證請(qǐng)求Token是否合法。	https://kubernetes.default.svc	支持?？梢耘渲枚鄠€(gè)audience，通過英文半角逗號(hào),分割。
  service-account-signing-key-file	Token簽名私鑰文件路徑。	/etc/kubernetes/pki/sa.key	不支持。默認(rèn)使用/etc/kubernetes/pki/sa.key，無需配置。

步驟一：創(chuàng)建一個(gè)ServiceAccount對(duì)象

每個(gè)命名空間會(huì)存在一個(gè)默認(rèn)的default ServiceAccount，您可以通過kubectl get serviceaccounts命令來查看。如果您需要為Pod中運(yùn)行的進(jìn)程提供其他身份標(biāo)識(shí)，您可以參見以下代碼創(chuàng)建一個(gè)新的ServiceAccount。

kubectl apply -f - <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: build-robot
EOF

ServiceAccount創(chuàng)建完成后，您可以執(zhí)行kubectl get serviceaccounts/build-robot -o yaml命令查看該ServiceAccount的完整信息。

步驟二：部署使用ServiceAccount Token卷投影的Pod應(yīng)用

您可以將該ServiceAccount以卷的形式投射到Pod中，Pod中的容器便可以使用該Token訪問集群API Server，并使用該ServiceAccount來進(jìn)行身份驗(yàn)證。例如，您可以指定Token的audience、有效期限（expirationSeconds）等屬性，將其投射到一個(gè)Pod應(yīng)用中。

1. 使用以下示例代碼，創(chuàng)建nginx.yaml文件，其中Pod聲明了需要使用audience為vault且有效期限為2個(gè)小時(shí)的ServiceAccount。

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
   spec:
     containers:
     - image: nginx
       name: nginx
       volumeMounts:
       - mountPath: /var/run/secrets/tokens
         name: vault-token
     serviceAccountName: build-robot
     volumes:
     - name: vault-token
       projected:
         sources:
         - serviceAccountToken:
             path: vault-token
             expirationSeconds: 7200
             audience: vault

2. 執(zhí)行以下命令，部署使用卷投影的Pod應(yīng)用。

   kubectl apply -f nginx.yaml

3. 驗(yàn)證該P(yáng)od中掛載的Token的有效期。

   1. 執(zhí)行以下命令，確認(rèn)Pod已正常運(yùn)行。

      kubectl get pod nginx

      預(yù)期輸出：

      NAME    READY   STATUS    RESTARTS   AGE
      nginx   1/1     Running   0          3m15s

   2. 下載Pod容器中掛載的Token。

      kubectl exec -t nginx -- cat /var/run/secrets/tokens/vault-token > vault-token

   3. 執(zhí)行以下命令，獲取Token過期時(shí)間。

      cat vault-token |awk -F '.' '{print $2}' |base64 -d 2>/dev/null |jq  '.exp' | xargs -I {} date -d @{}

      示例輸出：

      一  8 26 15:45:59 CST 2024