这篇文章主要介绍kubernetes中Service Account与Secret的示例分析，文中介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们一定要看完！
一：Service Account与Secret数据结构
二：Service Account与Secret运行机制
1.kubernetes的master节点由三部分组成kube-apiserver,kube-scheduler和kube-controller-manager。其中controller manager会根据apiserver的配置信息(--admission-control和--service-account-private-key-file)，生成ServiceAccount controller 和token controller.
2.ServiceAccount controller一直监听Service Account和Namespace事件。如果一个Namespace中没有defaultService Account，那么Service AccountController就会为该Namespace创建一个默认的（default）的ServiceAccount。
3.Token Controller也监听ServiceAccount的事件，如果发现新建的Service Account里没有对应的ServiceAccount Secret，则会用API Server私钥（--service-account-private-key-file指定的文件）创建一个Token（JWTToken），并用该Token、CA证书(这个是API Server的CA公钥证书，来源于controller-manager配置文件中的root-ca-file),Namespace名称等三个信息产生一个新的Secret对象，然后放入刚才的ServiceAccount中；如果监听到的事件是删除Service Account事件，则自动删除与该ServiceAccount相关的所有Secret。此外，TokenController对象同时监听Secret的创建、修改和删除事件，并根据事件的不同做不同的处理。
4.API Server收到Token以后，采用自己的私钥（实际是使用apiserver配置文件中的参数service-account-key-file指定的私钥，如果此参数没有设置，则默认采用tls-private-key-file指定的参数，即自己的私钥）对Token进行合法验证。
三：Service Account相关概念
1. Service Account概念的引入是基于这样的使用场景：运行在pod里的进程需要调用KubernetesAPI以及非KubernetesAPI的其它服务。ServiceAccount它并不是给kubernetes集群的用户使用的，而是给pod里面的进程使用的，它为pod提供必要的身份认证。
如果kubernetes开启了ServiceAccount(apiserver配置文件)那么会在每个namespace下面都会创建一个默认的default的service account。
3.ServiceAccount详情
当创建pod的时候，如果没有指定一个service account,系统会自动在该pod所在的namespace下为其指派一个default service account.
a. 如果spec.serviceAccount域没有被设置，则Kubernetes默认为其制定名字为default的Serviceaccount；
b. 如果Pod的spec.serviceAccount域指定了default以外的ServiceAccount，而该ServiceAccount没有事先被创建，则该Pod操作失败；
c. 如果在Pod中没有指定“ImagePullSecrets”，那么该sec.serviceAccount域指定的ServiceAccount的“ImagePullSecrets”会被加入该Pod；
d. 给Pod添加一个新的Volume，在该Volume中包含ServiceAccountSecret中的Token，并将Volume挂载到Pod中所有容器的指定目录下（/var/run/secrets/kubernetes.io/serviceaccount）;
四：Secret相关概念
1.Secret解决了密码、token、密钥等敏感数据的配置问题，而不需要把这些敏感数据暴露到镜像或者Pod Spec中。Secret可以以Volume或者环境变量的方式使用。
2.Secret有三种类型：
·Service Account：用来访问Kubernetes API，由Kubernetes自动创建，并且会自动挂载到Pod的/run/secrets/kubernetes.io/serviceaccount目录中；
·Opaque：base64编码格式的Secret，用来存储密码、密钥等；
·kubernetes.io/dockerconfigjson：用来存储私有docker registry的认证信息。
我们可以通过Secret保管其它系统的敏感信息，并以Mount的方式将Secret挂载到Container中，然后通过访问目录中文件的方式获取该敏感信息。当Pod被API Server创建时，API Server不会校验该Pod引用的Secret是否存在。一旦这个Pod被调用，则kubelet将试着获取Secret的值，如果Secret不存在或者暂时无法连接到API Server,则kubelet将按一定的时间间隔定期重试获取Secret. 为了使用更新后的secret,必须删除旧的Pod,并重新创建一个新的Pod.
以上是“kubernetes中Service Account与Secret的示例分析”这篇文章的所有内容，感谢各位的阅读！希望分享的内容对大家有帮助，更多相关知识，欢迎关注编程网行业资讯频道！
