�创建了一个服务帐户来在 <code>datastore-ns</code> 命名空间中运行 <code>datastore</code> 服务。此外，我们需要在 <a href=/v1.11/zh/docs/reference/config/policy-and-telemetry/>Istio Mixer</a> 中强制执行服务访问控制，以使 <code>photo-frontend</code> 无法访问 datastore。</p><p>在这种设置下，Kubernetes 可以隔离管理服务的操作特权。Istio 管理所有命名空间中的证书和密钥，并对服务实施不同的访问控制规则。</p></article><