[ServiceAccount 생성]  kubectl create sa → 클러스터에 SA 신원 등록
   │
   ① kubelet이 파드 생성 시 projected 토큰(JWT)을 발급받아
   │      /var/run/secrets/.../token 에 마운트 (기본 1시간, 자동 갱신)
   │
   ② 파드 앱이 API 호출 시 그 토큰을 Authorization: Bearer 헤더에 실음
   │
   ③ API server가 토큰 검증(인증) — 서명·발급자(iss)·만료(exp) 확인
   │      → 통과하면 "너는 system:serviceaccount:<ns>:<sa>"로 신원 확정
   │
   ④ RBAC 인가 — 그 신원이 요청한 동사·리소스에 Role/RoleBinding이 있는지
   │
   ⑤ 허용 → 요청 실행 후 결과 반환
   ▼
[결과]  200/201(허용)  ·  401(인증 실패)  ·  403(인가 실패)

# serviceaccount.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: deployment-scaler
  namespace: sa-demo
  annotations:
    description: "Deployment 레플리카 수 조정용 서비스 계정"
---
# role.yaml — 필요한 최소 권한만 부여
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: deployment-scaler-role
  namespace: sa-demo
rules:
  - apiGroups: ["apps"]
    resources: ["deployments"]
    verbs: ["get", "list", "patch", "update"]
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list"]
---
# rolebinding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: deployment-scaler-binding
  namespace: sa-demo
subjects:
  - kind: ServiceAccount
    name: deployment-scaler
    namespace: sa-demo
roleRef:
  kind: Role
  name: deployment-scaler-role
  apiGroup: rbac.authorization.k8s.io

kubectl apply -f serviceaccount.yaml -f role.yaml -f rolebinding.yaml

# 파드에 ServiceAccount 지정
kubectl run scaler-pod \
  --image=curlimages/curl:latest \
  --overrides='{"spec":{"serviceAccountName":"deployment-scaler"}}' \
  --namespace=sa-demo \
  --command -- sleep 3600

# 파드 안에서 K8s API 호출 테스트
kubectl exec -it scaler-pod -n sa-demo -- sh
# 토큰 원문을 출력하거나 로그에 남기지 않습니다. 필요하면 아래처럼 변수로만 사용합니다.
TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)
APISERVER="https://${KUBERNETES_SERVICE_HOST}:${KUBERNETES_SERVICE_PORT}"
CA="/var/run/secrets/kubernetes.io/serviceaccount/ca.crt"

# Deployment 목록 조회
curl -s --cacert $CA \
  -H "Authorization: Bearer $TOKEN" \
  "$APISERVER/apis/apps/v1/namespaces/sa-demo/deployments" | jq '.items[].metadata.name'

apiVersion: apps/v1
kind: Deployment
metadata:
  name: web-frontend
  namespace: sa-demo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: web-frontend
  template:
    metadata:
      labels:
        app: web-frontend
    spec:
      # 토큰 마운트 비활성화 — K8s API 호출 없는 파드
      automountServiceAccountToken: false
      containers:
        - name: nginx
          image: nginx:1.25
          ports:
            - containerPort: 80

kubectl apply -f web-frontend.yaml

# 토큰 마운트 여부 확인
kubectl exec -it $(kubectl get pod -n sa-demo -l app=web-frontend -o name | head -1) \
  -n sa-demo -- ls /var/run/secrets/ 2>&1
# ls: cannot access '/var/run/secrets/': No such file or directory
# ← 토큰이 없어서 디렉토리 자체가 존재하지 않음

# 1. EKS OIDC 제공자 확인
aws eks describe-cluster --name my-cluster \
  --query "cluster.identity.oidc.issuer" --output text
# https://oidc.eks.ap-northeast-2.amazonaws.com/id/EXAMPLE1234

# 2. IAM OIDC 제공자 등록 (클러스터당 1회)
eksctl utils associate-iam-oidc-provider \
  --cluster my-cluster \
  --approve

# 3. IAM 역할 생성 (S3 읽기 권한)
eksctl create iamserviceaccount \
  --cluster my-cluster \
  --namespace sa-demo \
  --name s3-reader \
  --attach-policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess \
  --approve

# eksctl이 자동 생성하는 ServiceAccount
# (수동으로 생성하는 경우 아래와 같이 annotation 추가)
apiVersion: v1
kind: ServiceAccount
metadata:
  name: s3-reader
  namespace: sa-demo
  annotations:
    # IAM 역할 ARN 연결
    eks.amazonaws.com/role-arn: arn:aws:iam::123456789012:role/sa-demo-s3-reader

# IRSA를 사용하는 파드
apiVersion: v1
kind: Pod
metadata:
  name: s3-reader-pod
  namespace: sa-demo
spec:
  serviceAccountName: s3-reader
  containers:
    - name: aws-cli
      image: amazon/aws-cli:latest
      command: ["sleep", "3600"]
      env:
        # AWS SDK가 자동으로 토큰을 읽는 환경 변수 (EKS가 자동 주입)
        - name: AWS_ROLE_ARN
          valueFrom:
            fieldRef:
              fieldPath: metadata.annotations['eks.amazonaws.com/role-arn']
        - name: AWS_WEB_IDENTITY_TOKEN_FILE
          value: /var/run/secrets/eks.amazonaws.com/serviceaccount/token

# 파드 안에서 S3 접근 테스트 (자격증명 없이 동작)
kubectl exec -it s3-reader-pod -n sa-demo -- \
  aws s3 ls s3://my-config-bucket/
# 2024-01-15 09:30:00        1234 app-config.yaml