Token de cuenta de servicio (Kubernetes).

Credencial JWT montada en un pod de Kubernetes que autentica al workload ante el API server y otros servicios que confían en el proveedor de identidad del clúster. Pertenece a la categoría de Seguridad en la nube en ciberseguridad.

Credencial JWT montada en un pod de Kubernetes que autentica al workload ante el API server y otros servicios que confían en el proveedor de identidad del clúster.

Una ServiceAccount de Kubernetes representa una identidad no humana utilizada por los pods. Su token asociado es un JSON Web Token firmado que se proyecta automáticamente en el pod en /var/run/secrets/kubernetes.io/serviceaccount/token (API TokenRequest en versiones modernas) y se utiliza para llamar al API server. El token incluye claims como audience, expiration, namespace y pod. Como el token concede acceso vía RBAC, su fuga es peligrosa: con él, un atacante puede listar, modificar o destruir recursos del clúster en el alcance del role binding. Las buenas prácticas son: tokens vinculados, con audience y vida corta; desactivar el montaje automático cuando no se necesita; ajustar los role bindings al mínimo privilegio; y federar la identidad de workload a IAM en la nube (OIDC, Workload Identity, IRSA).

Las defensas contra Token de cuenta de servicio (Kubernetes) combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Token de ServiceAccount, Token SA proyectado.