k3s トークン

セキュアトークン形式（「フル」トークンとも呼ばれることがあります）は、以下の部分で構成されます：

<prefix><cluster CA hash>::<credentials>

ショートトークン形式には、クラスターに参加するノードを認証するために使用されるパスワードまたはベアラートークンのみが含まれます。

ショートトークンが使用される場合、参加ノードはサーバーが提示する CA バンドルを暗黙的に信頼します。TLS ブートストラッピングプロセスのステップ 2-4 はスキップされます。初回接続は中間者攻撃に対して脆弱である可能性があります。

クラスターの最初のサーバーを起動する際にトークンが提供されない場合、ランダムなパスワードでトークンが作成されます。サーバートークンは常にセキュア形式で /var/lib/rancher/k3s/server/token に書き込まれます。

The server token can be used to join both server and agent nodes to the cluster. Anyone with access to the server token essentially has full administrator access to the cluster. This token should be guarded carefully.

The server token is also used as the PBKDF2 passphrase to encrypt confidential information that is persisted to the datastore known as bootstrap data. Bootstrap data is essential to set up new server nodes or restore from a snapshot. For this reason, the token must be backed up alongside the cluster datastore itself.

カスタム CA 証明書の使用に関する詳細は、k3s certificate ドキュメントを参照してください。
クラスターのバックアップに関する詳細は、バックアップとリストアドキュメントを参照してください。

デフォルトでは、エージェントトークンはサーバートークンと同じです。エージェントトークンは、クラスターが開始された後でも、すべてのサーバーの CLI オプションまたは環境変数を変更することで設定できます。エージェントトークンはサーバートークンと同様に静的に構成され、期限切れにはなりません。

エージェントトークンはセキュア形式で /var/lib/rancher/k3s/server/agent-token に書き込まれます。エージェントトークンが指定されていない場合、このファイルはサーバートークンへのリンクです。

K3s supports dynamically generated, automatically expiring agent bootstrap tokens.

新しいトークンを作成します。[token] は k3s token generate によって生成された実際のトークンです。トークンが指定されていない場合、ランダムなトークンが生成されます。

クラスター CA ハッシュを含むセキュア形式のトークンが標準出力に書き込まれます。このコマンドの出力は保存する必要があります。トークンの秘密部分は再度表示できません。

1 つ以上のトークンを削除します。完全なトークンまたはトークン ID のみを提供できます。

ランダムに生成されたブートストラップトークンを生成します。

トークンを生成するためにこのコマンドを使用する必要はありません。トークン ID が [a-z0-9]{6}.[a-z0-9]{16} の形式であり、最初の部分がトークン ID、2 番目の部分が秘密である限り、自分で生成することもできます。

ブートストラップトークンを一覧表示し、その ID、説明、および残りの有効期間を表示します。

Rotate original server token with a new server token. 元のサーバートークンを新しいブートストラップトークンにローテートします。このコマンドを実行した後、すべてのサーバーおよび元のトークンで参加したエージェントは新しいトークンで再起動する必要があります。

新しいトークンを指定しない場合、1 つが生成されます。