Kubernetes 具有默认ServiceAccount的pod能否在另一个集群中部署pod？

我有一个库伯尼特斯的问题

我们有一个主吊舱，它可以根据称为的REST端点部署其他吊舱。例如，如果有人调用“/start\u work”端点，它可以部署一个worker pod来执行与此请求相关的工作

这个主吊舱是使用默认ServiceAccount部署的，为了允许它部署其他吊舱，我们必须给它集群管理员访问权限。我们使用ClusterRoleBinding将默认ServiceAccount绑定到集群管理员角色

然而，我们现在有一个更具挑战性的问题，我们的主吊舱运行在一个集群中，而工作吊舱需要部署在另一个集群中。这听起来是可以实现的吗？如果我们讨论的是另一个群集，那么授予默认ServiceAccount群集管理访问权限对我们没有帮助，对吗

以前有人这样做过吗？你是如何做到这一点的

非常感谢

然而，我们现在有一个更具挑战性的问题，我们的主吊舱运行在一个集群中，而工作吊舱需要部署在另一个集群中。这听起来是可以实现的吗

当然，是的；您可以通过任何数量的受支持机制免费提供凭据，这些机制将为Pod提供一个格式良好的KUBECONFIG，该KUBECONFIG可以在任何舒适的访问级别与远程集群进行通信。默认情况下，注入的

ServiceAccount

只受其自身集群的信任，但似乎有无限种方式可以将组件或完全形成的KUBECONFIG提供到Pod的文件系统中，然后您就可以开始竞争了

如果我们讨论的是另一个群集，那么授予默认ServiceAccount群集管理访问权限对我们没有帮助，对吗

这取决于（总是答案！）两个集群是否共享一个共同的CA根；如果答案是肯定的，那么肯定的，

cluster admin

在其中一个上将变为

cluster admin

。

主题

由呈现的x509证书的

CN=

（有时是

OU=

/

O=

）确定，其有效性由呈现的证书和集群的api服务器之间的信任链确定