如果我想让SA在创建时不带默认token，应该如何操作？

如果你想让Service Account (SA) 创建时不自动附带默认token，可以在创建SA的时候禁用自动注入，或者在创建后手动删除默认的token Secret。以下是两种常见的做法：

**1. 使用`kubectl create`命令时指定元数据**：

kubectl create serviceaccount my-sa --no-token

这里`--no-token`选项表示不自动创建默认的token Secret。

**2. 配置文件中创建SA**：
在`manifests/serviceaccounts.yaml`等配置文件中，可以显式地定义SA并避免默认token：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-sa
  annotations:
    serviceAccount.token: ""

然后使用`kubectl apply -f manifests/serviceaccounts.yaml`来创建SA。

一旦SA创建完成，你可以单独创建token Secret，或者在需要时才通过`kubectl create secret generic my-secret --from-literal=token=mytoken`手动添加token。