Kubernetes v1.25.5创建ServiceAccount无法获取Token问题求助

问题背景 #

在Kubernetes v1.25.5中完成以下操作后：

• 创建devops-tools命名空间
• 创建api-service-account服务账户
• 配置ClusterRole和ClusterRoleBinding，且通过kubectl auth验证权限正常
  执行kubectl get serviceaccount api-service-account -o=jsonpath='{.secrets[0].name}' -n devops-tools返回空值，无法找到关联的token Secret。

原因分析 #

Kubernetes从v1.24版本开始，默认不再为ServiceAccount自动创建包含token的Secret，这是出于安全考量，避免长期存在的静态token带来泄露风险。旧版本教程中的自动生成Secret逻辑已不再生效。

解决步骤 #

方法1：手动创建长期token Secret（仅适用于测试/非生产环境） #

创建关联目标ServiceAccount的Secret，指定类型为kubernetes.io/service-account-token：

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Secret
metadata:
  name: api-service-account-token
  namespace: devops-tools
  annotations:
    kubernetes.io/service-account.name: "api-service-account"
type: kubernetes.io/service-account-token
EOF

创建完成后，可通过以下命令获取并解码token：

# 获取Secret名称
kubectl get serviceaccount api-service-account -o=jsonpath='{.secrets[0].name}' -n devops-tools
# 解码token（注意：部分系统使用base64 -D，多数Linux发行版用base64 -d）
kubectl get secret <替换为实际Secret名称> -o=jsonpath='{.data.token}' -n devops-tools | base64 -d

方法2：生成临时token（生产环境推荐） #

使用kubectl create token命令生成带过期时间的临时token，安全性更高：

# 默认有效期1小时，可通过--duration参数调整，示例设置为24小时
kubectl create token api-service-account -n devops-tools --duration=24h

命令直接输出可使用的token，无需额外解码。

权限验证 #

可通过以下命令验证token对应的权限：

kubectl auth can-i get pods --as=system:serviceaccount:devops-tools:api-service-account
kubectl auth can-i delete deployments --as=system:serviceaccount:devops-tools:api-service-account

内容的提问来源于stack exchange，提问作者Peter Penzov