�时，它包含了 Kubernetes API 服务器颁发的代表工作负载实例的服务帐户的 JWT。如果 Citadel 可以对 JWT 进行身份验证，则提取为工作负载实例颁发证书所需的服务帐户名。</p><p>在 Kubernetes 1.12 之前，Kubernetes API 服务器的 JWT 存在以下问题：</p><ol><li>令牌没有重要字段来限制其使用范围，例如 <code>aud</code> 或 <code>exp</code>。有关更多信息，请参见<a href=https://github.com/kubernetes/community/blob/master/co