Kubernetes появилась заметка "Kubernetes v1.33: From Secrets to Service Accounts: Kubernetes Image Pulls Evolved" про новую фичу версии 1.33.Если описать данное улучшение одним предложением, то: "This enhancement allows credential providers to use pod-specific service account tokens to obtain registry credentials, which kubelet can then use for image pulls — eliminating the need for long-lived image pull secrets."
И тут (на мой взгляд) мы встречаем впервые упоминание
workload identity не в тематике облачных провайдеров.В итоге это дает
least privilege и ephemeral authentication.ServiceAccountTokenForKubeletCredentialProviders feature gate пока находиться в alpha, то авторы планируют его перевести в beta уже в 1.34.Следить за развитием данной фичи можно в KEP-4412.