Service Account为Pod中的进程和外部用户提供身份信息。所有的kubernetes集群中账户分为两类，Kubernetes管理的serviceaccount(服务账户)和useraccount（用户账户）

    Service account是为了方便Pod里面的进程调用Kubernetes API或其他外部服务而设计的。它与User account不同

    • User account是为人设计的，而service account则是为Pod中的进程调用Kubernetes API而设计；
    • User account是跨namespace的，而service account则是仅局限它所在的namespace；
    • 每个namespace都会自动创建一个default service account
    • Token controller检测service account的创建，并为它们创建secret
    • 开启ServiceAccount Admission Controller后
      • 每个Pod在创建后都会自动设置spec.serviceAccount为default（除非指定了其他ServiceAccout）
      • 验证Pod引用的service account已经存在，否则拒绝创建
      • 如果Pod没有指定ImagePullSecrets，则把service account的ImagePullSecrets加到Pod中
      • 每个container启动后都会挂载该service account的token和ca.crt到/var/run/secrets/kubernetes.io/serviceaccount/

    api server是的集群的入口，对于kubernetes的api server 是肯定不能随便访问。所以我们必须需要一些认证信息。例如：
    当用户访问集群（例如使用kubectl命令）时，apiserver 会将您认证为一个特定的 User Account（目前通常是admin，除非您的系统管理员自定义了集群配置）。Pod 容器中的进程也可以与 apiserver 联系。 当它们在联系 apiserver 的时候，它们会被认证为一个特定的 Service Account。
    image.png