全部产品
Search

搜索本产品

    容器服务 Kubernetes 版 ACK：ack-pod-identity-webhook组件介绍与变更记录

    文档中心

    容器服务 Kubernetes 版 ACK：ack-pod-identity-webhook组件介绍与变更记录

    更新时间：Dec 15, 2025

    ack-pod-identity-webhook是实现应用免密访问与Pod权限隔离的关键组件。本文介绍ack-pod-identity-webhook组件信息、使用说明及变更记录。

    组件介绍

    ack-pod-identity-webhook组件基于 Kubernetes 的 MutatingAdmissionWebhook机制，可以更便捷地使用容器服务提供的RRSA（RAM Roles for Service Accounts）特性，它可以为应用Pod自动注入应用依赖的挂载OIDC Token和环境变量配置，免去繁琐的手动配置工作。

    使用说明

    ack-pod-identity-webhook通过自动化配置 RRSA (RAM Roles for Service Accounts)，使 Pod 能直接扮演 RAM 角色，为集群提供安全、免密且精细到 Pod 级别的云资源权限管理方案。具体操作，请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

    自定义配置

    ack-pod-identity-webhook组件的自定义配置包括组件配置、命名空间配置、服务账户配置以及Pod配置。

    组件配置

    参数

    类型

    说明

    AutoInjectSTSEnvVars

    boolean

    是否启用默认为 Pod 注入 STS 相关环境变量的功能。

    • true：启用该功能。

    • false：禁用该功能。

    说明

    仅0.4.0及以上版本支持该参数。

    命名空间配置

    参数

    类型

    说明

    代码示例

    pod-identity.alibabacloud.com/injection

    标签

    是否为该命名空间下的Pod启用配置自动注入功能。

    • 当值为on时：表示启用命名空间级别的配置自动注入功能。

    • 未配置或其他值时：表示禁用命名空间级别的配置自动注入功能。

    apiVersion: v1
kind: Namespace
metadata:
  name: test
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

    服务账户配置

    参数

    类型

    说明

    代码示例

    pod-identity.alibabacloud.com/role-name

    注解

    该服务账户关联的RAM角色名称。如果未配置该配置项或配置的值不是一个合法的RAM角色名称，使用该服务账户的Pod将不会被自动注入配置。

    apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/role-name: test-role

    pod-identity.alibabacloud.com/service-account-token-expiration

    注解

    指定使用该服务账户的Pod挂载的OIDC Token的有效期。

    取值范围：[600, 43200]。单位：秒。

    默认值为3600，当配置值无效时，将使用3600作为此配置项的值。

    apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/service-account-token-expiration: '3600'

    pod-identity.alibabacloud.com/inject-sts-endpoint

    注解

    是否为使用该服务账户的Pod注入环境变量ALIBABA_CLOUD_STS_ENDPOINT。

    • 当值为on时：表示启用注入该环境变量。

    • 未配置或其他值时：表示禁用注入该环境变量。

    说明

    仅0.3.0及以上版本支持该参数。

    apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/inject-sts-endpoint: 'on'

    Pod配置

    参数

    类型

    说明

    代码示例

    pod-identity.alibabacloud.com/injection

    标签

    是否为该Pod启用配置自动注入功能。

    • 当值为on时：表示启用配置自动注入功能。

    • 未配置或其他值时：表示通过命名空间的配置控制是否启用配置自动注入。

    说明

    仅0.2.0及以上版本支持该参数。

    apiVersion: v1
kind: Pod
metadata:
  name: test
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

    pod-identity.alibabacloud.com/service-account-token-expiration

    注解

    指定该Pod挂载的OIDC Token的有效期。

    取值范围：[600, 43200]。单位：秒。

    默认值为3600，当配置值无效时，将使用3600作为此配置项的值。

    说明

    当服务账户和Pod上都存在该配置项时，服务账户上的配置将会被忽略。

    apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/service-account-token-expiration: '3600'

    pod-identity.alibabacloud.com/only-containers

    注解

    限制只为Pod内特定名称的容器自动注入配置，使用英文半角逗号（,）分隔多个容器名称。

    如果未配置该配置项，将为Pod内所有容器自动注入配置。

    apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/only-containers: 'controller,test'

    pod-identity.alibabacloud.com/skip-containers

    注解

    配置不为特定名称的容器自动注入配置，使用英文半角逗号（,）分隔多个容器名称。

    说明

    当某个容器名称同时存在于pod-identity.alibabacloud.com/only-containers和pod-identity.alibabacloud.com/skip-containers配置中时，pod-identity.alibabacloud.com/only-containers中的配置将会被自动忽略。

    apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/skip-containers: 'controller,test'

    变更记录

    2025年11月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.4.0

    registry-cn-hangzhou.ack.aliyuncs.com/acs/ack-pod-identity-webhook:0.4.0

    2025年11月24日

    • 新增默认为 Pod 注入 STS 相关环境变量：ALIBABA_CLOUD_STS_ENDPOINT、ALIBABA_CLOUD_STS_REGION以及ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED。

      可通过设置组件配置项AutoInjectSTSEnvVars的值为false来禁用该特性。

    • 升级组件使用的Golang版本至1.24.10，提升组件稳定性。

    组件升级异常可能会导致Pod创建失败，建议在业务低谷期进行升级操作。

    2025年09月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.3.1

    registry-cn-hangzhou.ack.aliyuncs.com/acs/ack-pod-identity-webhook:0.3.1

    2025年09月08日

    升级组件使用的Golang版本为1.24.6，提升组件稳定性。

    组件升级异常可能会导致Pod创建失败，建议在业务低谷期进行升级操作。

    2025年06月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.3.0

    registry-cn-hangzhou.ack.aliyuncs.com/acs/ack-pod-identity-webhook:v0.3.0.0-g433f84b-aliyun

    2025年06月06日

    新增支持通过ServiceAccount配置pod-identity.alibabacloud.com/inject-sts-endpoint，开启为Pod注入环境变量ALIBABA_CLOUD_STS_ENDPOINT。

    组件升级异常可能会导致Pod创建失败，建议在业务低谷期进行升级操作。

    2025年03月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.2.1

    registry-cn-hangzhou.ack.aliyuncs.com/acs/ack-pod-identity-webhook:v0.2.1.0-g52e519c-aliyun

    2025年03月18日

    升级组件使用的Golang版本为1.23.7，提升组件稳定性。

    组件升级异常可能会导致Pod创建失败，建议在业务低谷期进行升级操作。

    2024年12月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.2.0

    registry-cn-hangzhou.ack.aliyuncs.com/acs/ack-pod-identity-webhook:v0.2.0.11-g2f0c2e7-aliyun

    2024年12月19日

    • 新增支持通过增加Pod标签pod-identity.alibabacloud.com/injection: 'on'启用配置注入。

    • 优化对Kubernetes 1.32版本的支持。

    组件升级异常可能会导致Pod创建失败，建议在业务低谷期进行升级操作。

    2023年06月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.1.1

    registry.cn-hangzhou.aliyuncs.com/acs/ack-pod-identity-webhook:v0.1.1.0-gbddcb74-aliyun

    2023年06月07日

    增强组件对ACK Serverless集群的兼容性。

    组件升级异常可能会导致Pod创建失败，建议在业务低谷期进行升级操作。

    2023年02月

    版本号

    镜像地址

    变更时间

    变更内容

    变更影响

    0.1.0

    registry.cn-hangzhou.aliyuncs.com/acs/ack-pod-identity-webhook:v0.1.0.9-g26b8fde-aliyun

    2023年02月01日

    实现为应用Pod自动挂载OIDC Token以及自动配置环境变量的功能。

    首个版本。