一个webhook令牌验证器可以Assert哪个audiences令牌是有效的：
kubernetes/staging/src/k8s.io/api/authentication/v1/types.go
第91行到第102行
| | // Audiences是认证器选择的与TokenReview和token兼容的受众标识符。任何在TokenReviewSpec受众和令牌受众之间的交集中的标识符都是一个标识符。设置spec.audiences字段的TokenReview API客户端应该验证状态.audiences字段中返回的兼容受众标识符，以确保TokenReview服务器具有观众意识。如果TokenReview返回一个空的状态.audience字段，其中status.authenticated为"true",则该令牌对Kubernetes API服务器的观众有效。 // +optional // +listType=atomic
| | Audiences []stringjson:"audiences,omitempty" protobuf:"bytes,4,rep,name=audiences" |
audiences的空列表意味着“对Kubernetes API服务器的观众有效”。
JWT验证器无法表达这一点。相反，它只能表达“如果你看到这个列表中的任何一个受众，就认为它是等同于Kubernetes API服务器的观众”。

apiVersion: apiserver.config.k8s.io/v1beta1
kind: AuthenticationConfiguration
jwt:
- issuer:
    url: ...
    audiences:
    - audience1
    - audience2
    audienceMatchPolicy: MatchAny
  claimValidationRules: ...
...

例如，在上面的配置中，audience1和audience2被认为是API服务器观众(无论API服务器观众的实际值是什么)。
这意味着如果某个带有观众foo的“服务器”想要使用令牌审查API进行令牌验证，那么“客户端”只能使用Kube SA令牌或来自webhook验证器的令牌来对其进行身份验证。服务器的解决方法是直接验证令牌本身，但这意味着它需要有效地实现整个JWT验证器逻辑本身。
一种可能的方法是允许使用CEL表达式来确定audiences:

apiVersion: apiserver.config.k8s.io/v1beta1
kind: AuthenticationConfiguration
jwt:
- issuer:
    url: ...
    audiences: null # must be empty
    audienceMatchPolicy: MatchViaCEL # allows the use of the audiencesExpression field
    # CEL expression that returns empty string array to mean
    # valid against the audience of the Kubernetes API server.
    # Otherwise the returned string array list is used to perform
    # an audience intersection check exactly as how it is performed
    # for the webhook token authenticator.
    audiencesExpression: "..."
  claimValidationRules: ...
...

/sig auth
/triage accepted
@aramase@liggitt