Kubernetes v1.34 продвигает интеграцию токенов учетных записей служб для провайдеров учетных данных Kubelet до бета-версии. Это улучшение позволяет провайдерам учетных данных использовать токены учетных записей служб, специфичных для рабочей нагрузки, для учетных данных реестра, заменяя долгоживущие секреты извлечения изображений. Бета-релиз вводит обязательное поле cacheType для конфигураций провайдеров учетных данных. Доступны две стратегии кэширования: Token для учетных данных, привязанных к сроку действия токена, и ServiceAccount для учетных данных, действительных для всех подов, использующих одну и ту же учетную запись службы. Бета-версия также обеспечивает повышенную изоляцию безопасности, гарантируя, что поды могут получить доступ только к изображениям, извлеченным с использованием их авторизованных учетных записей служб. Эта система отслеживает идентификатор учетной записи службы и проверяет его, когда под использует закэшированное изображение. Администраторы могут отозвать доступ к изображениям, удалив и пересоздав учетные записи служб. Эта функция основана на ограничении аудитории узла учетной записи службы для безопасных запросов токенов. Чтобы использовать функцию бета-версии, убедитесь, что у вас установлена версия Kubernetes v1.34 или более поздняя, и обновите провайдеров учетных данных. Миграция из альфа-версии требует добавления поля cacheType и проверки стратегий кэширования. Сообщество Kubernetes ищет обратную связь по этой функции, особенно от разработчиков провайдеров учетных данных. Дальнейшее развитие и сбор обратной связи запланированы на будущие релизы.