使用服务帐户或用户帐户进行 Kubernetes 部署？答案

【问题标题】：Use Service-Account or User-Account for Kubernetes deployment?使用服务帐户或用户帐户进行 Kubernetes 部署？
【发布时间】：2019-10-20 16:41:42
【问题描述】：

我是 Kubernetes 新手，正在使用 Kubernetes-RBAC。我想限制不同用户访问我的集群。正如我所理解的，Service-Accounts 用于在 pod 内运行的集群内进程，这些进程想要针对 API 进行身份验证。

那么我应该使用用户帐户来构建服务器并通过 kubeconfig 文件从集群外部访问吗？或者这种情况下的最佳做法是什么？

使用Service-Accounts从远程访问集群是不是很糟糕？

【问题讨论】：

标签： kubernetes devops kubectl

【解决方案1】：

kubernetes 没有用户对象。建议使用服务帐户进行部署

【讨论】：

【解决方案2】：

您应该使用 Kubernetes 的普通用户身份验证系统来对在集群外运行的自动化代理进行身份验证。服务帐户只能由在集群内运行的 pod 使用（除非您非常努力地“借用”服务帐户令牌）。您可以设置RoleBinding 等操作，为您的 CD 系统用户授予创建和删除 Kubernetes 对象的特殊权限。

【讨论】：