安装与登录

准备命令行工具

从团队管理员或对应版本的交付产物取得适合本机系统和架构的 discernctl，放入 PATH。导入孔明配置时还需要新版 kmctl；本文的 JSON 示例使用 jq，生成 UUIDv7 的脚本使用 Python 3。

discernctl version
command -v kmctl jq python3

本地 version 不需要登录。本文不假定存在公开下载服务或系统包管理器安装包。

浏览器登录

将示例地址替换成团队的部署地址：

discernctl auth login --server https://discernlens.example
discernctl auth status

本机会打开浏览器并等待回调。在 SSH 或无浏览器环境使用：

discernctl auth login --server https://discernlens.example --device

按终端提示在可用浏览器打开链接，输入验证码并授权。登录最多等待十分钟，Ctrl-C 可以停止等待。

此功能默认关闭，需要管理员启用 CLI 登录并完成对应版本的 Authentik 配置。如果命令存在但服务端不接受登录，请先核对功能可用性。

登录态与退出

CLI 将服务器地址和可撤销会话存入 ~/.discernlens/config.json，目录权限为 0700，文件权限为 0600。会话按服务器 origin 与路径前缀隔离，最长三十天；上游授权失效时需重新登录。

discernctl auth logout

普通退出不影响浏览器会话，也不删除已保存的孔明连接。服务器无法访问时，auth logout --local-only 仅移除本机状态，不撤销服务端授权。

从 kmctl 导入孔明连接

确认本机已有带 Platform Secret 的 context：

kmctl config get-contexts
discernctl kongming connect --from-kmctl --context prod --project pilot
discernctl kongming connections --project pilot --output json

prod 是本机孔明 context，pilot 是 DiscernLens 项目的 slug。导入不会创建项目，也不会把孔明项目 ID 当成 DiscernLens slug。

只有用户 JWT、没有 Platform Secret 的 context 不能导入。导入以个人登录身份创建本人连接，CI 身份不能借用。密钥轮换后可重新执行导入；多个匹配连接时需显式指定 --connection CONNECTION_ID。

导入连接不等于选定了性能目标；当前 CLI 不会自动选择孔明服务或采集环境快照。推理 API Key 仍需独立提供。

CI 配置优先级

显式的 CI 配置优先于个人登录态：DISCERNLENS_TOKEN 与 DISCERNLENS_API_URL，或 DISCERNLENS_CONFIG 指向的受限 JSON 文件。非空环境变量覆盖文件值。

如果个人登录成功但后续身份不对，检查是否残留这些变量。CI 的配置和退出码见多实验编排与 CI。