k8s中 discovery-token和token 的区别

1. ‌用途与功能‌

• ‌token‌
  是 Kubernetes 集群中通用的身份验证凭证，用于 API 访问控制。它可以是用户 Token 或服务账户 Token，通过 kubeadm token list 查看，并用于 kubeadm join 加入节点时的认证‌。

  • 示例：kubeadm token create 生成的 Token 用于节点加入集群或 API 访问‌。

• ‌discovery-token‌
  是 kubeadm 初始化集群时生成的临时凭证，专门用于新节点通过 ‌Bootstrap Token‌ 机制发现并加入集群。它包含 discovery-token-ca-cert-hash 字段，用于验证集群 CA 证书的合法性‌。

  • 示例：kubeadm init 返回的 discovery-token 用于 Worker 节点加入集群‌。

2. ‌生命周期与安全性‌

• ‌token‌

  • 有效期较长（默认 24 小时），可通过 kubeadm token create --ttl 调整‌。
  • 支持动态更新，过期后需重新生成‌4。

• ‌discovery-token‌

  • 通常为一次性使用，节点加入集群后即失效‌。
  • 需配合 --discovery-token-ca-cert-hash 使用，确保节点连接的是合法集群‌。

3. ‌使用场景‌

• ‌token‌

  • 用于 API 访问（如 kubectl 操作）或服务账户认证‌。
  • 支持 RBAC 授权，可绑定具体权限‌。

• ‌discovery-token‌

  • 仅用于节点加入集群的初始发现阶段，不涉及后续 API 访问‌。

4. ‌数据内容‌

• ‌token‌
  包含用户或服务账户的标识信息（如 JWT 格式的 Token）‌。

• ‌discovery-token‌
  包含集群 CA 证书的哈希值（discovery-token-ca-cert-hash），用于验证集群身份‌。

总结