在ServiceAccount中不会自动生成一个可安装的秘密和令牌

Question

我下载了Kubernetes与Jenkins集成并创建了ServiceAccount，但秘密并非自动创建。

过去，我记得自动创建了一个秘密，并在创建ServiceAccount时安装了令牌。

如何像以前一样自动创建一个秘密？

Answer 1

如@P ....在Kubernetes版本1.24中所述，此行为已更改， legacyserviceaccounttokennoautogenation 默认情况下启用了1.24中的功能门。

包含服务帐户令牌的新秘密不再是自动生成的，并且在1.24+中的秘密中不会自动环境。现有的包含服务帐户令牌的秘密仍然可用。

API客户端从自动生成的秘密API对象刮擦令牌内容必须开始使用 tokenrequest api 获得令牌（首选，在所有受支持的版本中可用），或者，如果需要/需要一个基于秘密的令牌，则可以明确要求基于秘密的令牌。

请参阅手动创建服务帐户API令牌明确要求基于秘密的令牌。

Answer 2

您可以将以下两个清单放入YAML文件中，并应用它们，也可以从命令行中进行操作：

$ kubectl apply -f - <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: jenkins-user
EOF


$ kubectl apply -f - <<EOF
apiVersion: v1
kind: Secret
metadata:
  name: jenkins-user-secret
  annotations:
    kubernetes.io/service-account.name: jenkins-user
type: kubernetes.io/service-account-token
EOF

在这里，我们有一个秘密，该秘密拥有证书和令牌：

$ kubectl get secret
NAME               TYPE                                  DATA   AGE
jenkins-user-secret   kubernetes.io/service-account-token   3      4s

Answer 3

上面的答案并不能完全恢复1.24前的行为，但是我发现以下确实可以恢复它。

apiVersion: v1
kind: Secret
metadata:
  name: jenkins-user-secret
  annotations:
    kubernetes.io/service-account.name: jenkins-user
type: kubernetes.io/service-account-token
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: jenkins
automountServiceAccountToken: true
secrets:
  - name: jenkins-user-secret

这可以解决我以前在运行时看到的错误，

istioctl x create-remote-secret

这是在丢弃错误的

Error: could not get access token to read resources from local kube-apiserver: no secret found in the service account:

零件上丢失的零件正在配置服务帐户，以允许POD通过设置“秘密”列表来使用秘密。

Answer 4

您可以使用选项automountserviceaccounttoken启用它：true

apiVersion: v1
kind: ServiceAccount
metadata:
  name: jenkins
automountServiceAccountToken: true

else删除选项automountserviceaccounttoken，默认情况下它将创建秘密

apiVersion: v1
kind: ServiceAccount
metadata:
  name: jenkins