创建Kubernetes Dashboard令牌时kubectl create token命令报错原因

报错的核心原因是 kubectl create token 是 Kubernetes 1.24 版本才正式加入的kubectl内置子命令，你本地使用的kubectl客户端版本、或者连接的Kubernetes集群版本低于1.24时，命令行工具识别不到这个子命令，就会抛出你看到的unknown command "token admin-user"错误。

文档PR里提到的1.24版本，指的是Kubernetes本身的版本，和Kubernetes Dashboard、kind这类组件没有直接关联：

• Kubernetes 1.23及更早版本中，创建ServiceAccount（服务账号）后，系统会自动生成一个关联的、永久有效的Secret对象来存储访问令牌，所以旧版文档用你找到的长命令，先找到ServiceAccount关联的Secret，再做base64解码就能拿到令牌。
• Kubernetes 1.24版本开始，系统默认不再为ServiceAccount自动生成长期有效的Secret令牌，转而提供更安全的、默认有效期1小时的短期令牌机制，配套新增的就是kubectl create token <服务账号名>这个获取令牌的命令。

还有一个容易踩的坑：哪怕你的集群版本是1.24及以上，如果本地安装的kubectl客户端版本低于1.24，本地客户端依然识别不到create token子命令，会报一模一样的错，需要把kubectl升级到和集群版本差不超过1个小版本，才能正常使用这个命令。

两种命令的适用场景 #

• 集群版本为1.23及更低：直接用你找到的读取Secret的长命令获取令牌即可，这是对应版本的标准操作方式。
• 集群版本为1.24及更高：先将本地kubectl升级到和集群匹配的1.24+版本，再执行kubectl -n kubernetes-dashboard create token admin-user就能直接拿到短期访问令牌。

提示：1.24+版本如果需要长期有效的令牌，也可以手动创建关联到ServiceAccount的Secret对象，再用旧版长命令读取，但生产环境更推荐使用默认的短期令牌，降低凭证泄露带来的安全风险。

内容的提问来源于stack exchange，提问作者Alana Storm