当automountServiceAccountToken设为false时，Pod的服务账号作用是什么？

当automountServiceAccountToken设置为false时，仅会阻断Kubernetes自动将服务账号的token凭证挂载到Pod文件系统的行为，你通过serviceAccountName指定的服务账号依然生效，核心作用包括：

• 作为Pod的集群身份标识
  Kubernetes系统层面仍然会用该服务账号作为Pod的身份标识，比如API Server的审计日志中，所有关联到该Pod的请求都会记录对应服务账号的身份信息，不会因为没有自动挂载token就变更Pod的身份属性。
• 承接RBAC权限规则
  你给该服务账号绑定的所有RBAC权限依然有效，如果你后续手动为Pod挂载该服务账号的token（比如自行创建关联Secret挂载到Pod内），Pod内进程使用该token访问API Server时，依然会继承对应服务账号的所有权限；同时集群内其他组件通过API Server访问该Pod相关资源时，权限校验也会匹配该服务账号的权限规则。
• 关联镜像拉取密钥
  如果该服务账号配置了关联的imagePullSecrets，kubelet拉取Pod镜像时依然会正常使用这些密钥拉取私有镜像，不受automountServiceAccountToken配置的影响。
• 适配集群准入与第三方组件规则
  如果集群启用了Pod安全准入、PodSecurityPolicy这类策略，准入校验时会匹配该服务账号绑定的策略规则，判断Pod是否允许被创建；此外集群内的服务网格、日志审计、权限管控等第三方组件，大多基于服务账号识别Pod身份做策略匹配，这类能力也和Pod内是否挂载服务账号token无关，只要指定了serviceAccountName就会生效。

内容的提问来源于stack exchange，提问作者Shuzheng