如何移除K3s集群中应用Pod对ServiceAccount密钥的依赖

你看到的/var/run/secrets/kubernetes.io/serviceaccount目录是Kubernetes（包含K3s发行版）默认给Pod挂载的服务账户（ServiceAccount）身份凭证，用于Pod内进程调用Kubernetes API Server时做身份校验，默认所有未指定SA的Pod都会自动挂载当前命名空间下default服务账户的凭证。

禁用凭证自动挂载的方法 #

你可以通过配置完全关闭该目录的自动挂载，彻底避免令牌泄露风险，有两种配置维度：

• 单个Pod维度关闭：在Pod的YAML定义的spec层级添加automountServiceAccountToken: false字段即可，示例配置如下：

apiVersion: v1
kind: Pod
metadata:
  name: app-test-pod
  namespace: app-system
spec:
  automountServiceAccountToken: false # 新增该行禁用凭证挂载
  containers:
  - name: app
    image: your-business-image:v1

• 服务账户维度批量关闭：修改指定服务账户的配置，添加automountServiceAccountToken: false字段，后续所有绑定该服务账户的Pod都会默认不挂载凭证，适合批量处理同类型业务Pod：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: default
  namespace: app-system
automountServiceAccountToken: false

禁用后Pod与API Server的通信方案 #

关闭自动挂载后是否需要额外配置，取决于你的业务是否需要调用Kubernetes API：

• 如果你的业务完全不需要和Kubernetes API交互（比如普通的Web业务、数据库业务等），无需额外配置，业务可以正常运行，不存在通信问题。
• 如果你的业务确实需要调用Kubernetes API，可以使用以下更安全的替代方案：
  1. 按需挂载最小权限凭证：单独为需要调用API的业务创建专用服务账户，通过RBAC规则严格限制该账户仅拥有业务必须的API调用权限，再给对应Pod单独配置serviceAccountName: 自定义专用SA名称 + automountServiceAccountToken: true，仅给必要的Pod开放凭证，就算令牌泄露也无法执行高危操作。
  2. 使用短时效绑定令牌：K3s v1.21及以上版本支持Bound Service Account Tokens特性，你可以配置令牌体积投影，给挂载的令牌设置短有效期、绑定当前Pod与节点，令牌泄露后会快速过期，无法被长期滥用。

注意：默认的default服务账户初始状态下没有任何API调用权限，如果你之前手动为其绑定过角色权限，建议先回收多余权限，从根源降低风险。

内容的提问来源于stack exchange，提问作者solveit