k8s中的账户分为
1. user accounts 给人 用
我们执行kubectl的时候，会使用认证文件 .kube/config ，向api server发起认证。
.kube/config 保存了api server的秘钥信息，是kubeadm 安装集群的时候生成密钥文件，存的。
2. service Accounts 给程序用
pod 访问api server 用的认证，仅限该namespace，不指定就用default service Account
rbac 四个资源对象
role，clusterrole，rolebiding，clusterrolebiding
创建sa，会自动创建一个token。
