关于Kubernetes Pod创建与ServiceAccount认证的疑问

核心混淆点梳理 #

你混淆了两个完全独立的环节：Pod内部的ServiceAccount Token挂载，和创建Pod的请求认证流程。

为什么设置autoMountServiceAccountToken: false时Pod仍能创建？ #

• autoMountServiceAccountToken这个字段仅控制：Pod启动后是否自动将其关联的ServiceAccount的Token挂载到容器的/var/run/secrets/kubernetes.io/serviceaccount/token路径下。它只影响Pod内部应用调用K8s API的身份，和Pod本身能不能被创建没有任何关系。
• 哪怕把这个字段设为false，Pod依然会默认关联default ServiceAccount（除非你显式指定其他ServiceAccount，或者设置serviceAccountName: ""），只是不会把该账号的Token挂载到Pod内部而已。K8s创建Pod的决策，根本不会检查这个字段。

创建Pod的请求认证流程详解 #

你的理解存在部分偏差，正确流程如下：

• 当你用kubectl发起创建Pod的请求时，kubectl会使用本地~/.kube/config里配置的认证凭据（可能是用户证书、密码、或者某个ServiceAccount的Token，取决于集群的认证方式），向K8s API Server发送请求。
• API Server首先完成身份认证：确认发起请求的实体（比如操作kubectl的用户、某个ServiceAccount）是谁。
• 接着进行授权检查：验证该实体是否拥有在目标Namespace下创建Pod的权限（比如是否被绑定了pods/create的权限）。
• 只有这两步都通过，API Server才会执行创建Pod的操作。

关键区分 #

• 发起创建Pod的身份：是操作kubectl的用户/ServiceAccount，负责完成请求的认证授权，决定Pod能不能被创建。
• Pod关联的ServiceAccount：是Pod内部应用的身份，用来让Pod里的应用调用K8s API，autoMountServiceAccountToken只是控制要不要把这个身份的Token挂载给应用。

内容的提问来源于stack exchange，提问作者Rajesh