Kubernetes 1.35 introduit une amélioration pour la transmission des tokens de service account aux pilotes CSI. Actuellement, ces tokens sont passés via le champ *volume_context*, ce qui pose des risques de fuite dans les logs, comme démontré par des vulnérabilités récentes. La nouvelle version propose une solution en beta : un mécanisme opt-in permettant de recevoir les tokens via le champ *secrets* de *NodePublishVolumeRequest*, plus adapté aux données sensibles. Les pilotes CSI peuvent activer cette option en ajoutant le champ *serviceAccountTokenInSecrets* dans leur spécification. La fonctionnalité est rétrocompatible et permet une migration progressive. Les auteurs de pilotes sont encouragés à adopter cette approche pour améliorer la sécurité.
Source: https://kubernetes.io/blog/2026/01/07/kubernetes-v1-35-csi-sa-tokens-secrets-field-beta/