ServiceAccount令牌是否需保密？K8s服务间认证安全性疑问

核心问题梳理 #

• Kubernetes中，ServiceAccount令牌会自动挂载到Pod的/var/run/secrets/kubernetes.io/serviceaccount/token路径下。不少实践方案建议用它实现服务间认证：调用方将令牌放入HTTP请求头发送给被调用服务，后者通过k8s.io/api/authentication Go API验证调用方身份。
• 疑问点：被调用服务拿到令牌后，是否能滥用它冒充调用方向Kubernetes API发起请求？这个担忧是否合理？Kubernetes有没有内置机制确保只有挂载该令牌的Pod才能使用它？

解答说明 #

担忧完全合理 #

ServiceAccount令牌本身就是有效的Kubernetes身份凭证，任何持有该令牌的主体（包括被调用服务）都可以用它向Kubernetes API发起请求，权限范围完全和该ServiceAccount绑定的RBAC规则一致。如果被调用服务被攻陷，或者存在内部恶意操作，令牌泄露后确实会带来身份冒充的风险。

Kubernetes的风险缓解机制 #

Kubernetes本身没有直接限制只有挂载令牌的Pod才能使用它，令牌是独立的凭证，只要持有就能通过API Server的身份校验。不过可以通过以下方式降低风险：

• 最小权限配置：为ServiceAccount绑定最严格的RBAC规则，只授予完成业务所需的最小权限，就算令牌泄露，攻击面也会被大幅限制。
• 短生命周期令牌：从Kubernetes 1.21版本开始支持ServiceAccount令牌自动轮换，通过配置TokenRequest或为kubernetes.io/service-account-token类型的Secret设置expirationSeconds参数，缩短令牌有效期，降低泄露后的影响时长。
• 网络策略隔离：使用NetworkPolicy限制Pod之间的通信范围，只允许合法的服务间调用，减少令牌被非法获取的可能。
• 服务网格增强：借助Istio、Linkerd这类服务网格实现双向TLS认证，避免直接传递ServiceAccount令牌，同时提供更细粒度的身份校验与权限控制。

内容的提问来源于stack exchange，提问作者Johannes Gehrs