11.2. 默认服务帐户
OpenShift Container Platform 集群包含用于集群管理的默认服务帐户，并且为各个项目生成更多服务帐户。
11.2.1. 默认集群服务帐户
几个基础架构控制器使用服务帐户凭证运行。服务器启动时在 OpenShift Container Platform 基础架构项目 (openshift-infra) 中创建以下服务帐户，并授予其如下集群范围角色：
| 服务帐户 | 描述 |
|---|---|
|
|
分配 |
|
|
分配 |
|
|
分配 |
11.2.2. 默认项目服务帐户和角色
每个项目中会自动创建三个服务帐户：
| 服务帐户 | 使用方法 |
|---|---|
|
|
由构建 Pod 使用。被授予 注意
如果没有启用 |
|
|
由部署 Pod 使用并被授予 注意
如果没有启用 |
|
| 用来运行其他所有 Pod，除非指定了不同的服务帐户。 |
项目中的所有服务帐户都会被授予 system:image-puller 角色，允许使用内部容器镜像 registry 从项目中的任何镜像流拉取镜像。
11.2.3. 自动生成的镜像 pull secret
默认情况下，OpenShift Container Platform 为每个服务帐户创建一个镜像 pull secret。
在 OpenShift Container Platform 4.16 之前，还会为创建的每个服务帐户生成长期服务帐户 API 令牌 secret。从 OpenShift Container Platform 4.16 开始，不再创建此服务帐户 API 令牌 secret。
升级到 4.17 后，任何现有的长期服务帐户 API 令牌 secret 都不会被删除，并将继续正常工作。有关检测集群中使用的长期 API 令牌，以及在不需要时删除它们的信息，请参阅红帽知识库文章 OpenShift Container Platform 中的 Long-lived 服务帐户 API 令牌。
此镜像 pull secret 需要将 OpenShift 镜像 registry 集成到集群的用户身份验证和授权系统中。
但是，如果您不启用 ImageRegistry 功能，或者在 Cluster Image Registry Operator 配置中禁用集成的 OpenShift 镜像 registry，则不会为每个服务帐户生成镜像 pull secret。
当在之前启用的集群中禁用集成的 OpenShift 镜像 registry 时，之前生成的镜像 pull secret 会被自动删除。
