创建 ServiceAccount 需用 v1.ServiceAccount 类型并显式设置 Namespace；1.22+ 版本默认不自动生成关联 Secret，属集群配置变更而非代码问题。
用 client-go 创建 ServiceAccount 对象
Go 程序要创建 Kubernetes 的 ServiceAccount，核心是调用 client-go 的 Create() 方法，传入带正确 apiVersion 和 kind 的结构体。不是写 YAML 再 kubectl apply，而是直接构造 Go 对象并提交到 API Server。
关键点在于：必须使用 v1.ServiceAccount 类型（注意是 v1，不是 v1beta1），且命名空间不能为空（Namespace 字段必须显式设置）。
-
ServiceAccount属于core/v1组，对应 client-go 中的k8s.io/client-go/kubernetes/typed/core/v1 - 需要提前初始化
*v1.ServiceAccountClient，通常通过clientset.CoreV1().ServiceAccounts(namespace)获取 - 对象的
Name字段在ObjectMeta中，不是单独字段；Namespace必须与 client 初始化时一致，或显式指定（若用 namespace-scoped client，则不能再改）
sa := &v1.ServiceAccount{
ObjectMeta: metav1.ObjectMeta{
Name: "my-sa",
Namespace: "default",
},
}
created, err := clientset.CoreV1().ServiceAccounts("default").Create(context.TODO(), sa, metav1.CreateOptions{})
为什么创建后没生成 Secret？
1.22+ 版本的 Kubernetes 默认禁用自动挂载 ServiceAccount 关联的 Secret（即不自动生成 token 类型 Secret）。这不是 Go 代码的问题，是集群配置行为变更。
- 旧版本（Secret，类型为
kubernetes.io/service-account-token - 新版本需手动创建该
Secret，或启用LegacyServiceAccountTokenNoAutoGeneration特性门控（不推荐） - 更现代的做法是用
ServiceAccountToken对象（authentication.k8s.io/v1）按需请求 token，而非依赖静态 Secret
如果你仍需兼容旧逻辑，在 Go 中可额外创建一个 v1.Secret 并设置 Type: v1.SecretTypeServiceAccountToken，同时填上 Annotations["kubernetes.io/service-account.name"] = "my-sa"。
立即学习“go语言免费学习笔记（深入）”；
RBAC 权限怎么配才够用？
运行 Go 程序的账号（比如 Pod 里的 ServiceAccount）必须有 create 权限作用于 serviceaccounts 资源，否则会报 Forbidden: serviceaccounts is forbidden 错误。
- 最小权限 ClusterRole 示例：
rules:- apiGroups: [""]resources: ["serviceaccounts"]verbs: ["create"] - 如果要在非 default 命名空间创建，需确认 RoleBinding/ClusterRoleBinding 绑定到了对应命名空间，或使用 ClusterRole + ClusterRoleBinding
- 注意：
serviceaccounts是命名空间级资源，clusterroles本身不能直接操作它——必须配合绑定到具体命名空间
创建失败常见错误信息和排查点
遇到 403 Forbidden 或 409 Conflict 时，别急着改代码，先看错误响应体里具体是什么。
-
serviceaccounts "xxx" already exists：重复创建，加Get()预检，或捕获errors.IsAlreadyExists(err) -
the server does not allow this method on the requested resource：client 使用了Update()或Patch()却传了 nil 对象，或用了错误的 client（比如用了ClusterRoles()client 去操作ServiceAccount） -
no matches for kind "ServiceAccount" in version "v1"：client-go 版本太低（如 v0.18.x 以下），或 import 路径错（比如用了corev1但没导入k8s.io/api/core/v1） - context 超时或 cancel 导致
context deadline exceeded：检查 kubeconfig 是否可用、API Server 是否可达，不要忽略context生命周期管理
真正容易被忽略的是：client-go 的 ServiceAccounts(namespace) 返回的是 namespace-scoped client，一旦初始化就不能跨命名空间操作——哪怕你后面在 Create() 的对象里写了别的 Namespace，也会被忽略或报错。
