Kubernetes v1.35 вводит функцию бета-тестирования - CSI Driver Opt-in для токенов учетной записи службы через поле Secrets. Ранее токены учетной записи службы для драйверов CSI передавались через поле volume_context, что не идеально для конфиденциальных данных и привело к случайному логированию токенов. Эта новая функция позволяет драйверам CSI получать эти токены через поле secrets в NodePublishVolumeRequest, предназначенное для конфиденциальной информации в спецификации CSI. Существующие драйверы CSI по умолчанию продолжат получать токены через volume_context, поскольку новое поле serviceAccountTokenInSecrets в спецификации CSIDriver по умолчанию равно false.Чтобы принять эту функцию, авторы драйверов CSI должны сначала реализовать логику обратной совместимости в коде драйвера. Эта логика проверяет как поле secrets, так и volume_context на наличие токенов, обеспечивая совместимость как с более старыми, так и с более новыми версиями Kubernetes. После развертывания этого обновленного драйвера кластер должен быть обновлен до Kubernetes v1.35 или позже, включая как kube-apiserver, так и kubelet. Как только кластер и драйвер обновлены, манифест CSIDriver можно обновить, чтобы установить serviceAccountTokenInSecrets: true.Очень важно следовать определенной последовательности развертывания, чтобы избежать поломки существующих томов. Обновление драйвера с логикой обратной совместимости должно быть развернуто и полностью внедрено до обновления объекта CSIDriver для включения нового поведения. Этот механизм опт-ин устраняет риск случайного логирования токенов, использует правильное поле спецификации CSI для конфиденциальных данных и управляется инструментом protosanitizer без необходимости специальных обходных путей. Авторам драйверов CSI рекомендуется принять эту функцию и предоставить обратную связь.