ServiceAccount ClusterRole ClusterRoleBinding

RoleBinding的作用是把ServiceAccount绑定到Role上，Role规定了可以对资源做的操作，把ServiceAccount绑定到Role上就表示拿到这个ServiceAccount的程序就有了权限对资源做这些操作。

当然，有ClusterRole和ClusterRoleBinding，ClusterRole可以在包括所有NameSpce和集群级别的资源或非资源类型进行鉴权。Role用于给某个NameSpace中的资源进行鉴权。

 

ServiceAccount是给运行在Pod的程序使用的身份认证，Pod容器的进程需要访问API Server时用的就是ServiceAccount账户；ServiceAccount仅局限它所在的namespace，每个namespace创建时都会自动创建一个default service account；创建Pod时，如果没有指定Service Account，Pod则会使用default Service Account

 

每个Namespace下都有一个名为default的默认的 Service Account对象，这个Service Account里面有一个名为Tokens的可以当作Volume一样被Mount到Pod里的secret，当Pod启动时候，这个Secret会自动Mount到Pod的指定目录下，用来完成Pod中的进程访问API server时的身份认证过程。下面可以看到

 

为什么不能用default token,而是要自定义一个ServiceAccount，并生成自定义Secret？因为每个人需求不同，都可以有自己不同的ServiceAccount。