文档中心

容器服务

请输入

安全组件

pod-identity-webhook

pod-identity-webhook 是 VKE 集群中用于辅助实现 IRSA 能力的自动化组件。本文介绍如何在集群中部署和使用 pod-identity-webhook 组件。

组件概述

pod-identity-webhook 组件是 IRSA（IAM Role for Service Account）功能辅助组件，组件核心能力和优势如下：

自动化注入 IRSA 配置：在 Pod 创建的 Mutating Admission 阶段，自动为符合条件的 Pod 注入 IRSA 相关配置，用户无需手动修改 Pod YAML 即可使用 IRSA 能力。

支持灵活配置：可通过命名空间标签、ServiceAccount 注解、Pod 注解实现精细化控制，包括开启/关闭自动注入、指定关联 IAM 角色、设置 OIDC Token 有效期、限制注入容器范围等。

pod-identity-webhook 组件为托管组件，默认情况下不会在您的业务集群中部署具体的 Kubenetes 资源，不占用集群节点计算资源。

组件版本

关于组件的历史发布记录、各版本新增特性及优化说明等信息，详情请参见组件发布记录。

安装组件

说明

若您对扩展环境变量中的变量名称或变量值进行了变更，配置仅对新创建的 Pod 自动生效。存量已运行的 Pod 不会自动更新配置，您可通过重新发布、删除重建 Pod 的方式触发配置加载，使变更后的环境变量生效。

升级组件

系统托管组件无需您关注组件升级问题。系统托管组件可避免用户侧原因导致的组件故障、性能不达预期等问题。减少用户运维成本，增强组件稳定性。