Tema 2: Service Accounts y RBAC
Base oficial: (The Kubernetes Authors, 2026b, 2026a). Mi versión de trabajo: Service accounts son identidades de workload. RBAC define que pueden hacer esas identidades.
Modelo mental
Service accounts son identidades de workload. RBAC define que pueden hacer esas identidades.
Notas
- Service accounts default no deben volverse poderosas en silencio.
- Least privilege es más fácil cuando cada app tiene su propia identidad.
- Errores de RBAC son bugs de plataforma, no papeleo.
Ángulo homelab
Escribe RBAC para tus propios controladores y bots. Ahi el modelo se vuelve real.
Cómo verificarlo
- Lee el status del objeto antes de cambiar el manifest.
- Revisa events para encontrar el controlador o nodo que realmente se queja.
- Confirma que la fuente oficial abajo todavía coincide con la versión del cluster que corres.
Modos de falla comunes
- Tratar el objeto YAML como el sistema, en vez de verlo como una entrada a un loop de reconciliación.
- Debuggear desde fuera del cluster cuando la falla solo existe dentro de networking o estado de nodo.
- Olvidar que versión de Kubernetes, versión de addon y comportamiento de runtime están conectados.
Fuentes
- Service Accounts - ruta fuente:
content/en/docs/concepts/security/service-accounts.md, commit 8cc9e19b8eec8d5cf49eacd66f86a81648edb1a0. - RBAC Good Practices - ruta fuente:
content/en/docs/concepts/security/rbac-good-practices.md, commit 8cc9e19b8eec8d5cf49eacd66f86a81648edb1a0. - La documentación de Kubernetes usa licencia CC BY 4.0; estas notas son comentario original y enlazan a la fuente oficial.
The Kubernetes Authors. (2026a). RBAC Good Practices. https://kubernetes.io/docs/concepts/security/rbac-good-practices/
The Kubernetes Authors. (2026b). Service Accounts. https://kubernetes.io/docs/concepts/security/service-accounts/