使用 kubeadm 进行证书管理

一：使用 kubeadm 进行证书管理

1.检查证书是否过期

kubeadm certs check-expiration

2.手动续订证书

使用 kubeadm certs renew 命令 可以随时手动续订证书，该命令使用存储在/etc/kubernetes/pki中的 CA (or front-proxy-CA)证书和密钥来更新证书

命令执行后，注意：

• 无论证书的到期时间如何，都会无条件地续订一年。
• 证书的SAN等信息基于原证书，无需再次提供。
• renew执行后，为使更改生效，需要重启各组件。

手动续证书

a.备份源文件及执行证书更新命令

cp -r /etc/kubernetes /etc/kubernetes.bak

kubeadm certs renew all

b.再次查看证书有效期

kubeadm certs check-expiration

c.重启 kube-apiserver、kube-controller-manager、kube-scheduler、etcd 组件后生效

kubectl delete pod etcd-master -n kube-system

kubectl delete pod kube-apiserver-master -n kube-system

kubectl delete pod kube-controller-manager-master -n kube-system

kubectl delete pod kube-scheduler-master -n kube-system

d.修改config文件

cp -i /etc/kubernetes/admin.conf $HOME/.kube/config

chown $(id -u):$(id -g) $HOME/.kube/config

二：kubelet证书自动轮换

此操作方法只针对二进制方式部署的k8s集群

kubelet最大证书有效期为5年

修改kube-controller-manager启动参数（所有master节点修改）

vim /usr/lib/systemd/system/kube-controller-manager.service

--experimental-cluster-signing-duration=87600h

修改kubelet启动参数（所有节点修改）

vim /usr/lib/systemd/system/kubelet.service

添加以下参数

--rotate-certificates=true

重启kube-controller-manager和kubelet

systemctl daemon-reload

systemctl restart kube-controller-manager.service

systemctl restart kubelet

kubelet证书有效期查看

cd /etc/kubernetes/sslopenssl x509 -in kubelet-client-current.pem -text -noout| grep Not