Compte de service Service Account
Identité qui permet aux pods de s'authentifier auprès de l'API Kubernetes et de systèmes externes. À ne pas confondre avec le compte utilisateur (réservé aux humains). Chaque namespace possède un compte default ; la bonne pratique est un compte dédié par charge de travail, avec un RBAC minimal.
Le jeton est monté comme volume projeté dans /var/run/secrets/kubernetes.io/serviceaccount/. Depuis la v1.22 : des jetons liés (bound tokens), à durée de vie courte et rotation automatique. Avant, c'étaient des objets Secret contenant des JWT éternels — une faille béante dès que le secret fuitait. IRSA (IAM Roles for Service Accounts), une fonction d'AWS, utilise le jeton du compte de service pour endosser un rôle IAM via OIDC ; Google Cloud et Azure proposent l'équivalent avec la Workload Identity Federation. Résultat : plus d'identifiants cloud à longue durée de vie dans les pods. Le schéma standard du moindre privilège dans Kubernetes.