ServiceAccount 与令牌挂载控制

ServiceAccount 是 Pod 的工作负载身份：默认自动挂载令牌，不需要访问 API 的 Pod 建议关闭自动挂载，减少凭据暴露面。

Kubernetes 速查云更新于 2026-10-12

创建与使用

kubectl create serviceaccount app-sa -n prod
# Pod 指定
# spec.serviceAccountName: app-sa
# 关闭自动挂载
kubectl patch sa app-sa -n prod -p '{"automountServiceAccountToken": false}'

Pod 级也能用 spec.automountServiceAccountToken: false 覆盖；不需要 API 权限的组件建议关闭。

易错点

关了自动挂载后依赖 in-cluster 凭据的客户端库会取不到令牌，先确认应用用法
一个 SA 给多个应用共用：审计与授权边界模糊，按应用拆分

数据来源与参考

Kubernetes 官方文档 · ServiceAccounts

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌