Kubernetes 在哪里挂载服务帐户机密？

Question

创建 Pod 时，总是将其分配给某个服务帐户 - default 或指定的其他帐户。

The documentation 表示服务帐户的 API 凭据将自动挂载，除非另有说明：

在 1.6+ 版本中，您可以通过在服务帐户上设置 automountServiceAccountToken: false 来选择不为服务帐户自动挂载 API 凭据 [...]

在 1.6+ 版本中，您还可以选择不为特定 pod 自动挂载 API 凭据 [...]

但是，我不确定这些秘密安装在哪里。

Answer 1

它们安装在/var/run/secrets/kubernetes.io/serviceaccount。服务帐户的 API 令牌以 token（即/var/run/secrets/kubernetes.io/serviceaccount/token）的形式提供，对于服务帐户的其余关联 Secret，依此类推。

这在官方文档的"Accessing Clusters"中有描述。