GitHub Actions中K8s集群Master节点Token获取与分发问题

1. 单Runner/同节点场景：修复环境变量传递问题 #

如果你的Master和Worker节点部署在同一个GitHub Actions Runner上，原命令的问题大概率是环境变量生效时机或输出捕获的问题。可以拆分步骤，用GITHUB_OUTPUT更可靠地传递命令：

- name: 生成K8s集群加入命令
  id: generate_join
  run: |
    # 注意需要sudo权限执行kubeadm命令
    JOIN_CMD=$(sudo kubeadm token create --print-join-command)
    # 写入GITHUB_OUTPUT供后续步骤引用
    echo "JOIN_COMMAND=$JOIN_CMD" >> $GITHUB_OUTPUT
    # 同时写入当前环境变量，供同步骤脚本使用
    echo "JOIN_COMMAND=$JOIN_CMD" >> $GITHUB_ENV

# 后续同Job内配置Worker节点的步骤
- name: 将Worker节点加入集群
  run: |
    ${{ steps.generate_join.outputs.JOIN_COMMAND }}

2. 跨Job/多Runner场景：Token跨节点传递 #

如果Master和Worker节点在不同的Runner（比如独立云主机、自托管Runner），需要通过持久化方式传递Token：

方案A：用GitHub Actions Artifacts存储分发 #

jobs:
  # Master节点初始化Job
  setup-master:
    runs-on: self-hosted-master
    outputs:
      join_command: ${{ steps.generate_join.outputs.JOIN_COMMAND }}
    steps:
      - name: 初始化K8s Master节点
        run: sudo kubeadm init --pod-network-cidr=10.244.0.0/16

      - name: 生成并导出加入命令
        id: generate_join
        run: |
          JOIN_CMD=$(sudo kubeadm token create --print-join-command)
          echo "JOIN_COMMAND=$JOIN_CMD" >> $GITHUB_OUTPUT
          # 将命令写入文件，准备上传为Artifact
          echo "$JOIN_CMD" > join_command.sh

      - name: 上传加入命令Artifact
        uses: actions/upload-artifact@v4
        with:
          name: join-command
          path: join_command.sh

  # Worker节点配置Job，依赖Master Job完成
  setup-workers:
    needs: setup-master
    runs-on: self-hosted-worker
    steps:
      - name: 下载加入命令Artifact
        uses: actions/download-artifact@v4
        with:
          name: join-command

      - name: 赋予脚本执行权限
        run: chmod +x join_command.sh

      - name: 将Worker节点加入集群
        run: sudo ./join_command.sh

方案B：临时写入GitHub Secrets（注意有效期） #

K8s Join Token默认有效期24小时，可临时写入仓库Secret实现跨Runner传递：

# Master节点步骤中生成并存储Token
- name: 生成并存储集群加入命令
  id: generate_join
  run: |
    JOIN_CMD=$(sudo kubeadm token create --print-join-command)
    echo "JOIN_COMMAND=$JOIN_CMD" >> $GITHUB_OUTPUT
    # 使用GitHub CLI写入临时Secret
    echo "$JOIN_CMD" | gh secret set K8S_JOIN_COMMAND --repo ${{ github.repository }} --visibility all

# Worker节点步骤中读取并执行
- name: 将Worker节点加入集群
  run: |
    JOIN_CMD=$(gh secret get K8S_JOIN_COMMAND --repo ${{ github.repository }})
    sudo $JOIN_CMD

注意：此方案需要给Actions授予secrets: write权限，使用后建议删除临时Secret以避免安全风险。

3. 原命令的常见排查点 #

• 确保执行kubeadm命令时带sudo，否则会因权限不足无法生成Token
• 执行sudo kubeadm token list确认Master节点已成功生成可用Token
• 若在容器化Runner中执行，需确保Runner以特权模式运行，否则K8s组件无法正常初始化

内容的提问来源于stack exchange，提问作者Diogo Barros