CyberGlossary

身份与访问

服务账户

别称: 非人类身份, 应用账户

定义

由应用程序、脚本或服务使用的非人类身份,通常用于在没有交互登录的情况下向其他系统进行认证。

服务账户代表的是工作负载而非人。它通常为后端进程而设,如备份任务、Kubernetes Pod、SaaS 连接器,用以调用数据库、API、消息队列或操作系统服务。这类账户往往持有长期有效的密钥(密码、API 密钥、证书)和较大权限,如果管理不善,极易成为横向移动的目标。最佳实践包括将凭据存入密钥保险库、自动轮换、按最小权限分配范围、在云中采用工作负载身份联邦(凭据短期化)、记录审计日志,以及用 OIDC 或 mTLS 等机制替代长期静态密钥。

示例

  • Pod 通过 Kubernetes ServiceAccount 以有限的 RBAC 权限调用集群 API。
  • Azure 托管标识允许虚拟机直接读取 Key Vault,无需存储任何密钥。

相关术语