Token de ServiceAccount (Kubernetes).

Credencial JWT montada num pod Kubernetes que autentica o workload junto do API server e de outros servicos que confiam no fornecedor de identidade do cluster. Pertence à categoria Segurança em nuvem da cibersegurança.

Credencial JWT montada num pod Kubernetes que autentica o workload junto do API server e de outros servicos que confiam no fornecedor de identidade do cluster.

Uma ServiceAccount no Kubernetes representa uma identidade nao humana usada por pods. O token associado e um JSON Web Token assinado, automaticamente projetado no pod em /var/run/secrets/kubernetes.io/serviceaccount/token (API TokenRequest nas versoes modernas) e usado para chamar o API server. O token inclui claims como audience, expiracao, namespace e pod. Como concede acesso via RBAC, a sua fuga e perigosa: com um token roubado, um atacante pode listar, alterar ou destruir recursos do cluster dentro do escopo do role binding. As boas praticas sao usar tokens vinculados, com audience e curta duracao, desativar a montagem automatica quando nao e necessaria, manter role bindings com privilegio minimo e federar a identidade do workload ao IAM da nuvem (OIDC, Workload Identity, IRSA).

As defesas contra Token de ServiceAccount (Kubernetes) costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Token de ServiceAccount, Token SA projetado.