我正在为我的应用程序设置一个名称空间，该名称空间中包含有状态集、部署和机密信息。使用 RBAC，我正在定义特定角色并将它们绑定到部署/状态集使用的服务帐户。这按预期工作。
现在，当我尝试通过不为部署分配任何服务帐户来测试机密是否安全时，它仍然会提取机密。命名空间中的默认服务帐户与不应访问机密的视图集群角色绑定。
知道这里发生了什么吗？
提前致谢。
【问题讨论】：
标签： kubernetes rbac role-based-access-control
我相信您需要将RoleBinding 分配给您命名空间中的默认服务帐户。例如：
kubectl create rolebinding myapp-view-binding --clusterrole=view --serviceaccount=default:default --namespace=default
查看角色应该阻止您阅读机密。
【讨论】：
roleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: view subjects: - kind: ServiceAccount name: default namespace: my-namespace
my-namespace)
现在，当我尝试通过不将任何服务帐户分配给部署来测试机密是否安全时...
如果您不为部署分配服务帐户，则将使用部署命名空间中的 default 服务帐户。
...它仍然揭开秘密
尝试在 pod 上设置automountServiceAccountToken: false。这将确保服务帐户令牌不会自动挂载。所以像：
apiVersion: apps/v1
kind: Deployment
metadata:
name: my-pod
spec:
...
template:
...
spec:
serviceAccountName: default
automountServiceAccountToken: false
【讨论】：