如何让KubeAPI将idToken传递给聚合后的APIService？

直接让KubeAPIServer把原始ID Token转发给聚合的APIService是不支持的。KubeAPIServer完成OIDC认证后，只会提取用户名、用户组这类核心声明，通过x-remote-user、x-remote-group这类请求头传递给后端服务，不会保留或转发原始的ID Token。

你可以试试这两种替代方案：

• 让客户端直接传递ID Token：请求聚合API时，让客户端在请求头里额外带上原始ID Token（比如用Authorization: Bearer <id-token>格式），你的APIService直接读取这个请求头就能解码使用。注意要验证Token的有效性，防止伪造。
• 调用TokenReview API：如果不需要原始Token本身，只是要获取Token里的额外声明，你的APIService可以调用Kubernetes的TokenReview API，传入客户端的认证Token（从Authorization请求头获取），KubeAPIServer会返回解析后的Token信息，包含所有声明。这种方式更贴合Kubernetes的认证体系，也不用客户端做额外操作。

内容的提问来源于stack exchange，提问作者cybercoder