[kubernetes] Service Account와 Token

서비스 어카운트

 

서비스 어카운트는 Kubernetes 클러스터 내에 있는 리소스들이 서로 액세스할 때 권한 설정을 할 수 있는 개념이다.

가령 A, B 네임스페이스가 존재할 때 서로 다른 네임스페이스임에도 서로 참조하는 것을 방지하기 위해 사용할 수도 있고 RBAC 역할 권한을 부여해서 특정 리소스에 대한 부적절한 접근을 통제하는 것도 가능하다.

 

k create sa mysa

로 생성할 수 있다.

 

시크릿

kubernetes 1.24 이전에는 서비스 어카운트를 만들면 자동으로 Token 값이 포함된 Secret이 생성됐는데

1.24 이후로는 Secret이 자동생성 되지 않아서 만들어줘야 한다.

 

시크릿의 타입으로는 아래와 같이 여러개가 존재하지만 서비스 어카운트를 위한 토큰을 만들어줘야 한다.

• generic: 일반 텍스트 또는 바이너리 데이터를 저장하는 데 사용됩니다.
• kubernetes.io/dockerconfigjson: Docker 인증서를 저장하는 데 사용됩니다.
• kubernetes.io/basic-auth: HTTP 기본 인증 정보를 저장하는 데 사용됩니다.
• kubernetes.io/service-account-token: Kubernetes 서비스 계정의 API 토큰을 저장하는 데 사용됩니다.
• kubernetes.io/tls: TLS 인증서를 저장하는 데 사용됩니다.

apiVersion: v1
kind: Secret
metadata:
  name: mysa-secret
  namespace: default
  annotations:
    kubernetes.io/service-account.name: mysa
type: kubernetes.io/service-account-token