Kubernetes 1.26中ServiceAccount关联Secret未生成问题

核心原因 #

Kubernetes 1.24及以上版本默认禁用了ServiceAccount自动生成Token Secret的特性。你手动创建的Secret需要满足特定规范，才能被Kubernetes的ServiceAccountTokenController识别并关联到对应的ServiceAccount。如果控制器未正确处理你的Secret，就会出现ServiceAccount的Secret计数为0的情况。

排查与解决步骤 #

1. 验证Secret配置正确性 #

先检查你创建的Secret是否符合要求：
执行命令查看Secret详情：

kubectl get secret devops-sa-secret -o yaml

确认以下三点：

• type字段必须为kubernetes.io/service-account-token
• metadata.annotations中kubernetes.io/service-account.name的值准确为devops-serviceaccount
• Secret中存在data.token字段（表示控制器已成功填充Token数据）

如果data.token不存在，说明控制器未处理该Secret，可删除后重新创建：

kubectl delete secret devops-sa-secret
kubectl apply -f 你的配置文件.yaml

2. 手动关联ServiceAccount与Secret #

若Secret已生成Token，但ServiceAccount的Secret计数仍为0，可手动编辑ServiceAccount触发关联：
执行命令编辑ServiceAccount：

kubectl edit sa devops-serviceaccount

在secrets字段下添加你的Secret条目：

secrets:
- name: devops-sa-secret

保存退出后，再次执行kubectl get serviceAccounts devops-serviceaccount即可看到计数更新。

3. 检查集群控制器状态 #

如果上述操作无效，确认kube-controller-manager组件是否正常运行（该组件负责ServiceAccount与Secret的关联逻辑）：

kubectl get pods -n kube-system | grep kube-controller-manager

若组件运行异常，需先修复控制器状态再重新尝试。

内容的提问来源于stack exchange，提问作者Arshad Badar Khan