Konto usługi (Service Account)
Tożsamość podów do uwierzytelniania wobec API Kubernetesa i systemów zewnętrznych. Różni się od konta użytkownika (ludzi). Każda przestrzeń nazw ma konto default; dobra praktyka to osobne konto na każde obciążenie, z minimalnym RBAC.
Token jest montowany jako projected volume w /var/run/secrets/kubernetes.io/serviceaccount/. Od wersji 1.22: tokeny bound z datą ważności (krótkotrwałe, automatycznie rotowane). Przed 1.22: obiekty secret z wiecznymi JWT (dziura bezpieczeństwa, gdy sekret wycieknie). IRSA (IAM Roles for Service Accounts) — funkcja AWS, w której token konta służy do przyjęcia roli IAM przez OIDC. Workload Identity Federation: podobne rozwiązania mają Google Cloud i Azure. Eliminuje długotrwałe poświadczenia chmurowe w podach. Standardowy wzorzec „najmniejszych uprawnień” w Kubernetesie.