要让一个 Service Account Token 只能被特定的 Pod 使用，可以使用 Kubernetes 中的 RBAC（Role-Based Access Control）机制。以下是具体步骤：
- 创建一个拥有该 Service Account 权限的 Cluster Role 或 Role。
apiVersion: rbac.authorization.k8s.io/v1kind: ClusterRolemetadata:name: pod-readerrules:- apiGroups: [""]resources: ["pods"]verbs: ["get", "watch", "list"]
- 创建一个绑定了该 Role 的 Cluster Role Binding 或 Role Binding，并指定对应的 Service Account。
apiVersion: rbac.authorization.k8s.io/v1kind: ClusterRoleBindingmetadata:name: pod-reader-bindingroleRef:kind: ClusterRolename: pod-readerapiGroup: rbac.authorization.k8s.iosubjects:- kind: ServiceAccountname: <service-account-name>namespace: <namespace># 或者apiVersion: rbac.authorization.k8s.io/v1beta1kind: RoleBindingmetadata:name : pod-reader-bindingnamespace : defaultroleRef:apiGroup : rbac.authorization.k8s.iokind : ClusterRolename : pod-readersubjects :- kind : ServiceAccountname : my-sa3. 在需要使用该 Service Account 的 Pod 中添加 annotation，以指定使用该 Service Account。
apiVersion: v1 kind: Pod metadata:
name: my-pod-with-sa-tokenannotations:kubernetes.io/service-account.name: <service-account-name>
spec:
containers:- name: my-containerimage: nginxports:- containerPort: 80
”`
注意，在上面的示例中，<service-account-name> 指定了该 Pod 所使用的 Service Account 的名称。此外，在绑定 Role 和 Service Account 的时候，可以根据需要指定命名空间。
通过以上步骤，只有在使用了该 annotation 的 Pod 才能使用该 Service Account Token 进行 API 访问。
![[GIN-debug] [WARNING] Creating an Engine instance with the Logger and Recovery middleware already attached.](https://linuxcpp.0voice.com/zb_users/upload/2023/05/202305162234452257235.png)
