能否删除特定命名空间中的default服务账户？CKS考题相关疑问

结论 #

在CKS考试的场景下，若题目明确要求删除未被使用的服务账户，且你已确认目标命名空间的default服务账户确实没有被任何Pod使用，那么完全可以按照题目要求删除它。

关键说明 #

• Kubernetes会为每个新建的命名空间自动创建default服务账户，当Pod没有显式指定serviceAccountName时，会默认使用这个SA。但如果该命名空间下所有Pod都已指定了自定义SA，或者当前没有Pod在运行，这个defaultSA就属于未被使用的资源，符合题目要求的清理条件。
• 需要注意：删除defaultSA后，后续若有未指定SA的Pod被创建，会因找不到默认SA而启动失败——但这一点在考试场景中无需考虑，因为题目仅针对当前未被使用的资源进行处理。

实操验证与删除命令 #

1. 验证defaultSA是否被Pod使用：

kubectl get pods -n <目标命名空间> -o jsonpath='{range .items[*]}{.spec.serviceAccountName}{"\n"}{end}' | grep -E '^default$'

如果没有任何输出，说明该SA未被使用。

2. 删除未使用的defaultSA：

kubectl delete serviceaccount default -n <目标命名空间>

内容的提问来源于stack exchange，提问作者Abid Khan