k3s トークン

セキュアトークン形式（「フル」トークンとも呼ばれることがあります）は、以下の部分で構成されます：

<prefix><cluster CA hash>::<credentials>

ショートトークン形式には、クラスターに参加するノードを認証するために使用されるパスワードまたはベアラートークンのみが含まれます。

ショートトークンが使用される場合、参加ノードはサーバーが提示する CA バンドルを暗黙的に信頼します。TLS ブートストラッピングプロセスのステップ 2-4 はスキップされます。初回接続は中間者攻撃に対して脆弱である可能性があります。

クラスターの最初のサーバーを起動する際にトークンが提供されない場合、ランダムなパスワードでトークンが作成されます。サーバートークンは常にセキュア形式で /var/lib/rancher/k3s/server/token に書き込まれます。

サーバートークンは、サーバーノードとエージェントノードの両方をクラスターに参加させるために使用できます。一度クラスターが作成されると変更できず、サーバートークンにアクセスできる人はクラスターに対して完全な管理者アクセスを持つことになります。このトークンは慎重に保護する必要があります。

サーバートークンは、データストアに永続化される機密情報（シークレット暗号化設定、ワイヤーガードキー、クラスター CA 証明書およびサービスアカウントトークンの秘密鍵など）を暗号化するために使用されるキーの PBKDF2 パスフレーズとしても使用されます。このため、トークンはクラスターのデータストアと一緒にバックアップする必要があります。

カスタム CA 証明書の使用に関する詳細は、k3s certificate ドキュメントを参照してください。
クラスターのバックアップに関する詳細は、バックアップとリストアドキュメントを参照してください。

デフォルトでは、エージェントトークンはサーバートークンと同じです。エージェントトークンは、クラスターが開始された後でも、すべてのサーバーの CLI オプションまたは環境変数を変更することで設定できます。エージェントトークンはサーバートークンと同様に静的に構成され、期限切れにはなりません。

エージェントトークンはセキュア形式で /var/lib/rancher/k3s/server/agent-token に書き込まれます。エージェントトークンが指定されていない場合、このファイルはサーバートークンへのリンクです。

K3s は動的に生成され、自動的に期限切れになるエージェントブートストラップトークンをサポートします。ブートストラップトークンはエージェントの参加にのみ使用できます。

新しいトークンを作成します。[token] は k3s token generate によって生成された実際のトークンです。トークンが指定されていない場合、ランダムなトークンが生成されます。

クラスター CA ハッシュを含むセキュア形式のトークンが標準出力に書き込まれます。このコマンドの出力は保存する必要があります。トークンの秘密部分は再度表示できません。

1 つ以上のトークンを削除します。完全なトークンまたはトークン ID のみを提供できます。

ランダムに生成されたブートストラップトークンを生成します。

トークンを生成するためにこのコマンドを使用する必要はありません。トークン ID が [a-z0-9]{6}.[a-z0-9]{16} の形式であり、最初の部分がトークン ID、2 番目の部分が秘密である限り、自分で生成することもできます。

ブートストラップトークンを一覧表示し、その ID、説明、および残りの有効期間を表示します。

元のサーバートークンを新しいブートストラップトークンにローテートします。このコマンドを実行した後、すべてのサーバーおよび元のトークンで参加したエージェントは新しいトークンで再起動する必要があります。

新しいトークンを指定しない場合、1 つが生成されます。