ServiceAccount Token 卷投影

1.24 起不再为每个 ServiceAccount 自动创建长期 Token Secret；工作负载改用 projected serviceAccountToken 获取带过期时间的短期令牌，由 kubelet 轮换。

Kubernetes 速查云更新于 2026-10-12

投影令牌

spec:
  serviceAccountName: app-sa
  containers:
    - name: app
      image: registry.example.com/app:1.26.0
      volumeMounts:
        - name: token
          mountPath: /var/run/secrets/tokens
  volumes:
    - name: token
      projected:
        sources:
          - serviceAccountToken:
              path: token
              expirationSeconds: 3600

对照：手动签发

kubectl create token app-sa --duration=1h -n prod

未显式声明时，kubelet 也会向 /var/run/secrets/kubernetes.io/serviceaccount 挂一枚同类短期令牌供客户端库使用。

易错点

仍依赖长期 Secret 令牌的旧脚本在升级后找不到 secret，改用 TokenRequest 或投影卷
expirationSeconds 是请求值，实际有效期受 API Server 侧上限配置约束

数据来源与参考

Kubernetes 官方文档 · ServiceAccount Token 卷投影

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌