TokenRequest

apiVersion: authentication.k8s.io/v1

import "k8s.io/api/authentication/v1"

TokenRequest

TokenRequest 为指定服务账户请求一个令牌。

• apiVersion: authentication.k8s.io/v1

• kind: TokenRequest

• metadata (ObjectMeta)

  标准对象的元数据。更多信息：https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata

• spec (TokenRequestSpec), 必需

  Spec 包含正在评估的请求的信息

• status (TokenRequestStatus)

  Status 由服务器填充，指示该令牌是否可以被认证。

TokenRequestSpec

TokenRequestSpec 包含客户端提供的令牌请求参数。

• audiences ([]string), 必需

  原子：将在合并期间被替换

  Audiences（受众）是令牌的预期接收者。令牌的接收者必须使用令牌受众列表中的标识符来识别自己，否则应拒绝该令牌。为多个受众签发的令牌可以用于针对所列出的任何受众进行认证，但这暗示了目标受众之间存在高度的信任。

• boundObjectRef (BoundObjectReference)

  BoundObjectRef 是对令牌将绑定到的对象的引用。令牌仅在绑定对象存在期间有效。注意：API 服务器的 TokenReview 端点会验证 BoundObjectRef，但其他受众可能不会。如果你希望快速撤销，请保持 ExpirationSeconds 的值较小。

  BoundObjectReference 是对令牌所绑定对象的引用。

  • boundObjectRef.apiVersion (string)

    参照者的 API 版本。

  • boundObjectRef.kind (string)

    引用对象的种类。有效的种类为 'Pod' 和 'Secret'。

  • boundObjectRef.name (string)

    引用对象的名称。

  • boundObjectRef.uid (string)

    引用对象的 UID。

• expirationSeconds (int64)

  ExpirationSeconds 是请求的有效期时长。令牌签发者可能会返回具有不同有效时长的令牌，因此客户端需要检查响应中的 'expiration' 字段。

TokenRequestStatus

TokenRequestStatus 是令牌请求的结果。

• expirationTimestamp (Time), 必需

  ExpirationTimestamp 是返回令牌的过期时间。

  Time 是 time.Time 的包装器，支持正确地编组到 YAML 和 JSON。为时间包提供的许多工厂方法提供包装器。

• token (string), 必需

  Token 是不透明的承载令牌 (opaque bearer token)。

操作

create 为服务账户 (ServiceAccount) 创建令牌

HTTP 请求

POST /api/v1/namespaces/{namespace}/serviceaccounts/{name}/token

Parameters

• name (在路径中): string, 必需

  TokenRequest 的名称

• namespace (在路径中): string, 必需

  命名空间

• body: TokenRequest, 必需

• dryRun (在查询中): string

  dryRun

• fieldManager (在查询中): string

  fieldManager

• fieldValidation (在查询中): string

  fieldValidation

• pretty (在查询中): string

  pretty

响应

200 (TokenRequest): 成功

201 (TokenRequest): 已创建

202 (TokenRequest): 已接受

401: 未授权