ServiceAccount 令牌轮换贯穿身份、访问和审计
先确认 Pod 使用哪个身份，再检查凭据如何生成、授权如何生效、访问如何留痕
身份不等于权限
轮换关注凭据生命周期
Pod
读取挂载文件
发起 API 调用
ServiceAccount
工作负载身份
绑定到 Pod
短期令牌
限定生命周期
降低持续风险
API Server
认证请求身份
校验访问边界
RBAC
判断可做什么
最小权限
审计
记录身份和动作
支撑追踪