Pod Certificates og Cluster Trust Bundles er nu GA i Kubernetes 1.37

Kubernetes 1.37 har gjort funktionerne Pod Certificates og Cluster Trust Bundles generelt tilgængelige. De bygger udstedelse af X.509-certifikater til TLS og mTLS direkte ind i kernen af Kubernetes, som et alternativ til de service account-JWT'er, der hidtil har været den primære identitetsmekanisme for workloads. Hvor en JWT er et bærertoken, som enhver der er i besiddelse af det kan bruge, bygger Pod Certificates på et bevis for besiddelse af en privat nøgle, der aldrig forlader workloadet. Kubelet udsteder certifikaterne automatisk via en PodCertificateRequest til en signer-controller og roterer dem løbende. Indbyggede signere udsteder certifikater med en levetid på højst 24 timer, mens andre signere kan gå op til 91 dage. Et node restriction-plugin sikrer, at en kubelet kun kan anmode om certifikater til pods, der faktisk kører på noden. Kubernetes leverer endnu ingen indbygget signer, men eksemplet Tinycert kan installeres i en klynge til test.