如何在OpenShift Pod终端获取当前登录用户的用户名或访问令牌

要在Pod终端中获取登录并进入终端的用户的用户名或访问令牌，核心难点在于：Pod默认使用自身服务账号的凭证，与终端用户的认证上下文是分离的。以下是几种可行的实现方案：

方案1：用户主动注入身份凭证（最简便可靠） #

当用户通过oc exec进入Pod时，让其执行以下命令，将自身的令牌和用户名注入到当前会话中：

# 用户在本地执行，进入Pod时同时传递自身身份信息
oc exec -it <你的Pod名称> -- bash -c 'export USER_NAME=$(oc whoami); export USER_TOKEN=$(oc whoami -t); bash'

进入Pod后，即可通过环境变量直接获取信息：

• 获取用户名：echo $USER_NAME
• 获取访问令牌：echo $USER_TOKEN

如果需要自动记录命令执行者，可以修改Pod的shell配置（比如.bashrc），添加命令日志逻辑，示例：

# 在.bashrc中添加
export PROMPT_COMMAND='echo "$(date "+%Y-%m-%d %H:%M:%S") - $USER_NAME - $(history 1 | sed "s/^[ ]*[0-9]*[ ]*//")" >> /var/log/commands.log'

方案2：通过OpenShift API关联终端会话与用户（需集群管理员权限） #

利用OpenShift的审计日志和API，查询发起当前Pod终端会话的用户：

1. 先获取API服务器地址和服务账号令牌：

# 获取API服务器地址
API_SERVER=$(oc get pods -n kube-system -l app=openshift-apiserver -o jsonpath='{.items[0].status.podIP}:6443')
# 获取服务账号令牌
SA_TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

2. 查询针对当前Pod的exec操作审计记录，提取用户信息：

# 替换<你的命名空间>和<你的Pod名称>
curl -ks -H "Authorization: Bearer $SA_TOKEN" https://$API_SERVER/apis/audit.k8s.io/v1/audits | \
jq '.items[] | select(.verb=="create" and .objectRef.subresource=="exec" and .objectRef.namespace=="<你的命名空间>" and .objectRef.name=="<你的Pod名称>") | .user.username'

注意：该命令会返回所有针对该Pod的exec操作发起用户，需要结合会话时间戳或终端PID进一步筛选当前活跃会话的用户，实现逻辑相对复杂。

方案3：Console终端场景的特殊处理（不推荐） #

如果用户仅通过OpenShift Console进入Pod终端，Console会通过代理层传递用户身份，但Pod内部无法直接获取这些请求头。若要实现，需修改Console配置或添加Sidecar容器拦截代理请求，提取用户信息，但该方式需要修改集群配置，成本较高，仅适合定制化场景。

核心结论 #

Pod自身的服务账号凭证与终端用户身份是独立的，默认无法直接关联。方案1是最易于实现且可靠的方式；若需自动获取，方案2可作为备选，但需处理会话匹配逻辑。

内容的提问来源于stack exchange，提问作者dalsky