Golang中使用rest.InClusterConfig能否指定其他Kubernetes ServiceAccount？

直接结论：rest.InClusterConfig无法直接指定或切换其他ServiceAccount。

原因 #

rest.InClusterConfig的实现逻辑是硬编码读取Kubernetes自动挂载到Pod的默认路径下的ServiceAccount凭证：

• Token路径：/var/run/secrets/kubernetes.io/serviceaccount/token
• CA证书路径：/var/run/secrets/kubernetes.io/serviceaccount/ca.crt
• Namespace路径：/var/run/secrets/kubernetes.io/serviceaccount/namespace

这些路径下的内容完全由Pod绑定的ServiceAccount决定，因此rest.InClusterConfig只能加载当前Pod关联的SA凭证，没有提供参数或配置项来指定其他SA。

替代方案 #

如果需要使用其他ServiceAccount，你可以通过以下方式手动构建API访问配置：

1. 手动挂载目标SA的凭证并构建Config #

• 首先，将目标ServiceAccount对应的Token Secret挂载到Pod中（Kubernetes会为每个SA自动创建包含token和ca.crt的Secret）
• 然后手动读取挂载的凭证，构建rest.Config对象：

import (
    "os"
    "k8s.io/client-go/rest"
)

func getTargetSAConfig() (*rest.Config, error) {
    // 读取挂载的目标SA token
    tokenBytes, err := os.ReadFile("/mnt/custom-sa/token")
    if err != nil {
        return nil, err
    }

    return &rest.Config{
        Host:            "https://kubernetes.default.svc",
        TLSClientConfig: rest.TLSClientConfig{CAFile: "/mnt/custom-sa/ca.crt"},
        BearerToken:     string(tokenBytes),
    }, nil
}

2. 使用包含目标SA凭证的kubeconfig文件 #

将预先配置好目标SA凭证的kubeconfig文件挂载到Pod，然后通过BuildConfigFromFlags加载：

import (
    "k8s.io/client-go/rest"
    "k8s.io/client-go/tools/clientcmd"
)

func getConfigFromKubeConfig() (*rest.Config, error) {
    kubeConfigPath := "/mnt/custom-kubeconfig/config"
    config, err := clientcmd.BuildConfigFromFlags("", kubeConfigPath)
    if err != nil {
        return nil, err
    }
    return config, nil
}

3. 更规范的方式：修改Pod的ServiceAccount #

如果允许修改Pod的配置，直接设置Pod的serviceAccountName字段为目标SA，Kubernetes会自动挂载该SA的凭证到默认路径，此时rest.InClusterConfig就能直接使用目标SA的权限。

内容的提问来源于stack exchange，提问作者NonoPa Naka