Kubernetes v1.34 将 Kubelet 凭据提供程序的 Service Account Token 集成提升至 Beta 阶段。此增强功能使凭据提供程序能够使用特定于工作负载的服务账户令牌来获取注册表凭据，从而取代了长期存在的镜像拉取 Secret。Beta 版发布引入了凭据提供程序配置的强制性 cacheType 字段。有两种可用的缓存策略：Token，用于与令牌生命周期绑定的凭据；ServiceAccount，用于对使用相同服务账户的所有 Pod 都有效的凭据。Beta 版本还提供了增强的安全隔离，确保 Pod 只能访问使用其授权 ServiceAccounts 拉取的镜像。该系统会跟踪 ServiceAccount 身份，并在 Pod 使用缓存镜像时进行验证。管理员可以通过删除并重新创建 ServiceAccount 来撤销镜像访问权限。此功能建立在服务账户节点受众限制的基础上，以实现安全的令牌请求。要使用 Beta 功能，请确保 Kubernetes 版本为 v1.34 或更高，并更新凭据提供程序。从 Alpha 迁移需要添加 cacheType 字段并审查缓存策略。Kubernetes 社区正在就此功能征求反馈，特别是来自凭据提供程序实现者的反馈。计划在未来的版本中进一步开发和收集反馈。