Kubernetes v1.34 fördert die Service-Konto-Token-Integration für Kubelet-Anmeldeinformationsanbieter auf Beta-Status. Diese Erweiterung ermöglicht es Anmeldeinformationsanbietern, werklastspezifische Service-Konto-Tokens für Registrierungsanmeldeinformationen zu verwenden und ersetzt damit langfristige Bildziehgeheimnisse. Die Beta-Version führt ein obligatorisches cacheType-Feld für Anmeldeinformationsanbieterkonfigurationen ein. Zwei Cachestrategien stehen zur Verfügung: Token für Anmeldeinformationen, die an die Token-Lebensdauer gebunden sind, und ServiceAccount für Anmeldeinformationen, die für alle Pods gültig sind, die dasselbe Service-Konto verwenden. Die Beta-Version bietet auch eine verbesserte Sicherheitsisolierung, die sicherstellt, dass Pods nur auf Bilder zugreifen können, die mit ihren autorisierten ServiceAccounts gezogen wurden. Dieses System verfolgt die ServiceAccount-Identität und überprüft sie, wenn ein Pod ein zwischengespeichertes Bild verwendet. Administratoren können den Bildzugriff widerrufen, indem sie ServiceAccounts löschen und neu erstellen. Die Funktion baut auf der Service-Konto-Node-Audience-Einschränkung für sichere Tokenanforderungen auf. Um die Beta-Funktion zu verwenden, stellen Sie sicher, dass Kubernetes v1.34 oder später verwendet wird und aktualisieren Sie die Anmeldeinformationsanbieter. Die Migration von Alpha erfordert das Hinzufügen des cacheType-Felds und die Überprüfung der Cachestrategien. Die Kubernetes-Community sucht nach Feedback zu dieser Funktion, insbesondere von Anmeldeinformationsanbieter-Implementierern. Weitere Entwicklungen und Feedback-Sammlungen sind für zukünftige Versionen geplant.