CLI de kubelatch¶

Todos los comandos y flags de kubelatch, el cliente para personas. La guía paso a paso está en La CLI; los comandos del binario del servidor (kubelatch-server serve, user …), en la CLI del servidor.

kubelatch login [<url>] [--device] [--ca-file <pem>] [-o <fichero>]
kubelatch logout
kubelatch status
kubelatch kubeconfig [--merge] [--alias <id>=<nombre>]... [-o <fichero>]
kubelatch request --cluster <id> --role <role> (--namespace <ns> | --cluster-wide)
                  [--for <duration>] --reason <text> [--ticket <ticket>] [--no-wait]
kubelatch request cancel <id>
kubelatch credentials
kubelatch credentials revoke <id>
kubelatch exec-credential
kubelatch version
kubelatch help [<comando>]

Los mensajes están en inglés, como los de kubectl. Los flags pueden ir antes o después de la URL.

kubelatch login¶

Te hace entrar y escribe el kubeconfig. La primera vez necesita la URL de kubelatch; queda guardada y los siguientes logins la reutilizan.

Sin --device, escucha en un puerto aleatorio de 127.0.0.1, abre el navegador en <url>/cli/approve/<id> (e imprime esa URL, por si el navegador no se abre) y espera hasta 5 minutos la aprobación. La sesión dura lo que diga KUBELATCH_CLI_SESSION_TTL, 12 h por defecto. Un login nuevo revoca la sesión anterior, incluso si es de otro servidor (en ese servidor antiguo, con su CA).

kubelatch logout¶

Revoca en kubelatch la credencial de la sesión y borra session.json. Si no llega a kubelatch, borra igualmente la sesión local y sale con 1: la credencial sigue valiendo hasta que caduque, así que revócala desde la web. Sin sesión imprime Not signed in. y sale con 0.

kubelatch status¶

Servidor, usuario, caducidad de la sesión y una línea por cada cluster al que tienes acceso: el contexto, el nombre del cluster y los permisos (nivel, namespace o whole cluster, y la caducidad de los que la tienen).

Después de los clusters lista tus solicitudes de acceso que aún esperan decisión, cada una con cuánto hace que la pediste, cuándo caduca y su enlace. No imprime nada si no espera ninguna o si el servidor no puede listarlas (edición Free, un servidor más antiguo).

kubelatch kubeconfig¶

Vuelve a escribir los contextos, por ejemplo tras un permiso nuevo.

El fichero tiene un cluster y un contexto por cluster, kubelatch-<cluster>, que apuntan a <url>/clusters/<cluster>, y el usuario kubelatch con el exec plugin (command: kubelatch, args: [exec-credential], interactiveMode: Never); ningún token. El certificate-authority-data es la CA del propio kubelatch (KUBELATCH_KUBECONFIG_CA) o, si no tiene, la de --ca-file. Sin --merge, current-context es el primer cluster.

kubelatch request¶

En Pro, pide un rol en un cluster durante un tiempo y espera a que alguien decida.

kubelatch request --cluster <id> --role <role> (--namespace <ns> | --cluster-wide)
                  [--for <duration>] --reason <text> [--ticket <ticket>] [--no-wait]
kubelatch request cancel <id>

Imprime el enlace de la solicitud y quién decide: los administradores (Waiting for ana or luis to decide.), o los dueños del sitio con él (Waiting for luis, carmen (owners of prod/pagos) or an administrator to decide., que termina en and 3 more pasados 50 nombres), primero los dueños propios del namespace. Después consulta cada 5 segundos hasta que se aprueba, se deniega, caduca o se cancela; Ctrl-C la deja pendiente. La misma orden sobre un permiso directo que ya tienes es una prórroga (Extension of debugger in prod/pagos by 2h). Un rol que el entorno concede sin aprobación se concede al momento (Granted by the rule of staging: …). Si el cluster es nuevo para ti, la última línea te dice que ejecutes kubelatch kubeconfig. kubelatch request cancel <id> retira una solicitud tuya. En Free dice a quién pedir el acceso y sale con 1.

kubelatch credentials¶

Lista tus credenciales: el id (la de la sesión, con un *), nombre, tipo (standard o cli), cluster (all o uno), caducidad, último uso y estado. kubelatch credentials revoke <id> revoca una tuya; si es la de la sesión, la sesión también termina.

kubelatch exec-credential¶

Lo ejecuta kubectl, no tú. Imprime un ExecCredential (client.authentication.k8s.io/v1) con el token y la caducidad de la sesión, sin salir a la red:

{"apiVersion":"client.authentication.k8s.io/v1","kind":"ExecCredential","status":{"expirationTimestamp":"2026-09-28T06:12:00Z","token":"klt_…"}}

Sin una sesión válida sale con 1 e imprime, para que kubectl lo muestre, error: no kubelatch session: run "kubelatch login" o error: the kubelatch session expired: run "kubelatch login".

kubelatch version y kubelatch help¶

version imprime la versión de la release de la que viene el binario, como v0.40.0.

help, y también -h y --help, lista los comandos con un resumen de una línea (exec-credential aparte, porque lo ejecuta kubectl), las variables de entorno y los códigos de salida. kubelatch help <comando>, o kubelatch <comando> -h (también --help), imprime el uso, la descripción, los flags y los ejemplos de ese comando. La ayuda sale con 0; help con un comando desconocido sale con 2.

Un flag o un argumento incorrecto imprime el error y el uso del comando, y sale con 2.

Ficheros y entorno¶

Hasta dónde llega el token de la sesión está en el modelo de seguridad.

Códigos de salida y errores¶

Mensajes habituales:

Binarios¶

Cada release adjunta kubelatch para Linux y macOS en amd64 y arm64: kubelatch_<versión>_<os>_<arch>.tar.gz y kubelatch_<versión>_checksums.txt, compartido con kubelatch-server. Cómo instalarla está en La CLI.