k8s（kubernetes）证书续期

原创已于 2023-09-26 10:27:22 修改 · 6.7k 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#kubernetes #docker #容器

于 2022-05-31 09:52:55 首次发布

运维K8S 专栏收录该内容

6 篇文章

订阅专栏

本文介绍了如何使用kubeadm在Kubernetes集群上进行证书续期，包括查看证书有效期、更新证书、重启服务等关键步骤。提供了两种方法，一种是推荐的简单方式，另一种涉及详细操作。强调了证书备份和更新所有组件服务的重要性。

简介
kubernetes集群上kubeadm 安装的证书默认为 1 年，注意原证书文件必须保留在服务器上才能做延期操作，否则就会重新生成，集群可能无法恢复，这里在证书快到期之前进行续期操作。

证书续期

方式一（推荐）

一、准备工作
1、查看证书有效期
命令： kubeadm certs check-expiration

2、更新证书
命令： kubeadm certs renew all

3、重启master相关组件服务（重启后读取使用新证书）

docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart

方式二

具体操作
查看证书到期时间
一般k8s证书文件都在/etc/kubernetes/pki/下

openssl x509 -noout -text -in /etc/kubernetes/pki/apiserver.crt

多个证书一起查看到期时间

for item in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`;do echo "==========$item=========";openssl x509 -in $item -text -noout| grep Not;done

开始续期
一般是更新master节点证书文件（如果是但master节点则直接执行下面步骤，如果是高可用多master节点则所有master节点都需要执行下面步骤）

备份配证书目录

mkdir /backups/ && cp -r /etc/kubernetes/pki /backups/

生成配置文件

kubeadm config view > /data/backups/cluster.yaml

更新所有证书（对所有证书进行续期）

kubeadm alpha certs renew all --config=/data/backups/cluster.yaml

重启master相关组件服务（重启后读取使用新证书）

docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart

再次查看证书到期时间，查看是否成功续期

for item in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`;do echo "==========$item=========";openssl x509 -in $item -text -noout| grep Not;done