GKE集群中Pod缺失服务账户令牌问题咨询

• GKE默认启用Workload Identity特性，这是它和原生Kubernetes的核心差异之一。当该特性生效时，Pod不会挂载传统的/var/run/secrets/kubernetes.io/serviceaccount目录，而是通过绑定IAM角色来获取云服务权限，替代了ServiceAccount令牌的挂载机制。
• 检查集群是否启用Workload Identity：

  gcloud container clusters describe <cluster-name> --zone <cluster-zone> | grep workloadIdentityConfig
  

  若输出包含workloadIdentityConfig相关配置，说明该特性已启用。
• 如需恢复传统ServiceAccount令牌挂载，可给Pod关联的ServiceAccount添加注解：

  annotations:
    iam.gke.io/gcp-service-account: ""
  

  这样GKE会自动挂载令牌目录到Pod内。
• 另外排查automountServiceAccountToken字段：

  kubectl get pod <pod-name> -o jsonpath='{.spec.automountServiceAccountToken}' -n <namespace>
  

  若返回false，需修改Deployment的spec.template.spec.automountServiceAccountToken为true，强制开启令牌自动挂载。

内容的提问来源于stack exchange，提问作者Dinesh Raj