如何修改默认行为让Deployment/Pod自动关联自定义ServiceAccount？

可以实现这个需求，核心方案是用Mutating Admission Webhook拦截Pod创建请求，自动替换未指定ServiceAccount的Pod的关联账号为你自定义的那个，无需在每个清单里手动配置。

具体操作方向：

• 开发一个Mutating Webhook服务，核心逻辑为：当检测到Pod的spec.serviceAccountName为空（或等于默认的"default"）时，将该字段修改为目标自定义ServiceAccount的名称。
• 配置Webhook的触发规则，使其对所有Pod创建请求生效（包括由Deployment、StatefulSet等控制器生成的Pod）。
• 将Webhook注册到Kubernetes集群中，确保准入控制器能够正常调用它；注意需配置合法的HTTPS证书，让集群信任该Webhook服务。

如果需要实现多Namespace的差异化默认配置，还可以给不同Namespace添加自定义标签，让Webhook根据标签选择对应的自定义ServiceAccount，实现不同Namespace使用不同默认账号的效果。

关键注意事项 #

• 逻辑中需判断仅当用户未手动指定ServiceAccount时才执行替换操作，避免覆盖用户的显式配置。
• 需为Webhook配置足够的权限，确保它能访问Pod和ServiceAccount相关的集群资源。

内容的提问来源于stack exchange，提问作者Visa2Learn