В официальном блоге Kubernetes
появилась заметка "Kubernetes v1.33: From Secrets to Service Accounts: Kubernetes Image Pulls Evolved" про новую фичу версии 1.33
.
Если описать данное улучшение одним предложением, то: "This enhancement allows credential providers to use pod-specific service account tokens to obtain registry credentials, which kubelet can then use for image pulls — eliminating the need for long-lived image pull secrets."
И тут (на мой взгляд) мы встречаем впервые упоминание workload identity
не в тематике облачных провайдеров.
В итоге это дает least privilege
и ephemeral authentication
.ServiceAccountTokenForKubeletCredentialProviders
feature gate пока находиться в alpha
, то авторы планируют его перевести в beta
уже в 1.34
.
Следить за развитием данной фичи можно в KEP-4412.
>>Click here to continue<<