Obtener una credencial¶

Cómo emitir tu credencial de kubelatch: un token para kubectl y un kubeconfig listo para usar.

Antes de empezar¶

Necesitas al menos un permiso activo en algún cluster. Si «Mis clusters» en «Inicio» está vacío, pide acceso primero: ver Entrar y pedir acceso.

Si trabajas desde una terminal, la CLI de kubelatch es más sencilla: entras desde el navegador y ella guarda la credencial por ti (la tarjeta «Tu conexión» de «Inicio» te da el comando de acceso exacto, y también «Entrar con la CLI», en la línea bajo el título, mientras trabajas con una credencial). Esta página es para cuando quieres el kubeconfig con el token dentro.

Emitir la credencial¶

1. Entra en kubelatch y ve a «Inicio».
2. Pulsa «Emitir una credencial», en la tarjeta «Mis credenciales». Para partir de un cluster, pulsa en cambio «Nuevo kubeconfig…» en su fila de «Mis clusters»: el formulario se abre con ese cluster elegido. El formulario «Emitir una credencial» se abre en un panel a la derecha (a todo el ancho en el móvil); rellénalo:
3. «Nombre»: cómo la reconocerás luego (por ejemplo portátil o CI local). Obligatorio, máximo 100 caracteres.
4. «Duración»: 1, 7 o 30 días para una persona; un bot llega hasta 90. Si el administrador ha fijado otro máximo, solo se ofrecen las duraciones que caben en él, más ese máximo. La más corta viene elegida.
5. «Cluster»: dejarlo en «Todos los clusters con permiso activo» incluye un contexto por cada cluster donde tengas un permiso activo en este momento; elige uno concreto para restringir la credencial a ese cluster. Con permiso en un solo cluster, el formulario solo lo nombra.
6. «Nota (opcional)»: hasta 500 caracteres.
7. Bajo los campos, una frase dice lo que vas a emitir, por ejemplo «Credencial portátil para kind-local, 7 días, con viewer en default y admin en apps.». Pulsa «Emitir credencial».

Sin ningún permiso activo, el formulario deja paso al aviso «Sin permisos activos no se puede emitir ninguna credencial.» y a la forma de pedir acceso.

El token y el kubeconfig se muestran una sola vez¶

Al emitirse aparece el diálogo «Credencial emitida», que muestra primero el kubeconfig: un botón «Descargar kubeconfig», un «Comando de prueba» listo para copiar y ejecutar (ejecútalo en la carpeta donde guardaste el archivo) y la lista de contextos que trae. Debajo va el texto completo del kubeconfig, con botón de copia (en una pantalla estrecha va plegado bajo «Ver el kubeconfig»: lo cómodo es descargarlo). El token en bruto (klt_...) queda plegado bajo «Solo el token (Bearer): para Lens o un script», para el caso más raro en que necesites el token en sí en vez de un kubeconfig.

Si intentas cerrar el diálogo sin haber copiado ni descargado nada, te avisa: «Aún no lo has guardado. Cierra otra vez para descartarlo.» El fichero descargado se llama kubelatch-<nombre>.yaml, por el nombre de tu credencial.

Límites de duración¶

No hay renovación automática: cuando caduca, emite una credencial nueva.

Dónde guardar el kubeconfig¶

Guárdalo en un fichero propio, nunca sobrescribas tu ~/.kube/config con él. Cambia ~/Descargas por la carpeta donde descargue tu navegador:

mkdir -p ~/.kube
mv ~/Descargas/kubelatch-portatil.yaml ~/.kube/kubelatch.yaml
export KUBECONFIG=~/.kube/kubelatch.yaml
kubectl get pods

Para usarlo junto a tus otros kubeconfigs, expórtalo solo en la terminal donde trabajes con kubelatch, o combínalos en KUBECONFIG (en Windows, separa las rutas con ;):

export KUBECONFIG=~/.kube/config:~/.kube/kubelatch.yaml
kubectl config get-contexts

Más detalles de uso en kubectl, k9s, Lens y Helm.

Un contexto por cluster, fijado al emitirla¶

El kubeconfig trae un context por cada cluster donde tenías un permiso activo en el momento de emitir la credencial, con el nombre kubelatch-<cluster>, como los de la CLI. Si después un administrador te concede acceso a un cluster nuevo, ese cluster no aparece en credenciales ya emitidas: emite una credencial nueva para incluirlo.

Comprueba que funciona¶

kubectl --kubeconfig ~/.kube/kubelatch.yaml get pods

Si responde con la lista de pods (o un Forbidden esperado según tu nivel), la credencial funciona. Si ves un error, mira Si algo falla.