K8s中sidecar能否配置不同的service account或不使用service account

问题核心结论 #

• 无法为同一Pod内的单个容器（包括Sidecar）配置独立的、与其他容器不同的ServiceAccount。ServiceAccount是K8s原生的Pod级资源属性，不是容器级属性，同一Pod内的所有容器默认共享同一份ServiceAccount的身份凭证、API访问权限。
• 可以通过配置实现Sidecar容器不获取、不使用ServiceAccount凭证，达到相当于不为Sidecar配置ServiceAccount的权限隔离效果，满足你提到的受限运行需求。

实现Sidecar权限限制的可行方案 #

方案1：关闭全局SA自动挂载，仅给需要权限的容器手动挂载SA凭证（最推荐） #

将Pod级别的automountServiceAccountToken设置为false，此时所有容器默认都不会自动挂载ServiceAccount的token文件，再单独给需要权限的主容器手动挂载SA凭证即可，Sidecar容器不挂载对应路径就无法获取SA身份。
示例YAML配置如下：

apiVersion: v1
kind: Pod
metadata:
  name: sidecar-demo
spec:
  # 配置整个Pod关联的SA（仅给需要权限的主容器使用）
  serviceAccountName: main-app-sa
  # 全局关闭SA凭证自动挂载
  automountServiceAccountToken: false
  containers:
  # 需要权限的主容器
  - name: main-app
    image: nginx:alpine
    volumeMounts:
    # 手动挂载SA凭证到默认路径
    - name: sa-secret
      mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      readOnly: true
  # 不需要权限的Sidecar容器
  - name: restricted-sidecar
    image: busybox:1.35
    command: ["sleep","3600"]
    # 不挂载SA凭证，无法获取SA身份
  volumes:
  # 手动定义SA凭证的挂载卷
  - name: sa-secret
    projected:
      sources:
      - serviceAccountToken:
          path: token
          expirationSeconds: 3600
      - configMap:
          name: kube-root-ca.crt
          items:
          - key: ca.crt
            path: ca.crt
      - downwardAPI:
          items:
          - path: namespace
            fieldRef:
              fieldPath: metadata.namespace

方案2：Sidecar访问K8s API需要独立权限的替代方案 #

如果Sidecar本身确实需要访问K8s API，但权限要求和主容器不同，目前K8s原生不支持同Pod多SA的场景，只能将Sidecar拆分为独立Pod部署，通过Service等服务发现机制和原主Pod通信。 #

内容的提问来源于stack exchange，提问作者RandomQuests