为K8s服务账户创建Secret后仍显示关联数为0的问题排查

1. Kubernetes版本特性：从v1.24版本开始，Kubernetes默认关闭了为ServiceAccount自动创建关联Secret的功能，所以你创建的my-app-service-account显示SECRETS 0是符合默认行为的。
2. 手动创建的Secret类型错误：你手动创建的Secret标注的类型是kubernetes.io/service-account-token，但实际创建后类型变成了kubernetes.io/dockerconfigjson，这说明Secret创建过程中类型配置未生效，导致ServiceAccount无法识别并关联这个Secret。

1. 删除错误的Secret #

先移除类型错误的Secret：

kubectl delete secret my-sa-token -n myapp-ns

2. 重新创建正确的ServiceAccount Token Secret #

创建以下YAML文件（确保类型和注解完全正确）：

apiVersion: v1
kind: Secret
metadata:
  name: my-sa-token
  namespace: myapp-ns
  annotations:
    kubernetes.io/service-account.name: "my-app-service-account"
type: kubernetes.io/service-account-token

执行创建命令：

kubectl apply -f <上述yaml文件名>

3. 验证关联状态 #

创建完成后，再次查看ServiceAccount的详细信息：

kubectl get sa my-app-service-account -n myapp-ns -o yaml

在输出的secrets字段中，应该能看到my-sa-token的引用；同时查看Secret：

kubectl get secret my-sa-token -n myapp-ns

此时Secret的类型应该显示为kubernetes.io/service-account-token，且DATA字段会包含token、ca.crt等内容。

可选：使用TokenRequest获取临时Token（推荐） #

如果你不需要长期有效的Secret，Kubernetes v1.20+支持通过TokenRequest API获取临时Token，无需创建Secret：

kubectl create token my-app-service-account -n myapp-ns --duration=24h

这个命令会直接输出可用于访问API Server的临时Token，安全性更高。

内容的提问来源于stack exchange，提问作者user842225