kubelet.crt 过期了，集群竟然还能正常运行？揭秘背后的秘密！

xiaodeshi

于 2024-05-18 14:06:39 发布

阅读量231

点赞数

分类专栏： Kubernetes 实践入门指南文章标签：云原生 kubernetes 安全

本文链接：https://blog.youkuaiyun.com/xiaodeshi/article/details/139024298

版权

Kubernetes 实践入门指南专栏收录该内容

45 篇文章 ¥49.00 ¥99.00

订阅专栏

超级会员免费看

当 kubelet.crt 证书过期后，Kubernetes 集群仍能运行，原因在于apiserver通过kubelet的bootstrap token进行安全认证，而非依赖kubelet.crt。apiserver的InsecureSkipVerify配置允许不验证kubelet的服务器证书，SSH隧道提供额外安全保障。官方文档提供了更多关于kubelet认证授权的详细信息。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.1 场景介绍

我们在搭建 Kubernetes 集群时，一般只声明用于集群 Master、Etcd等通信的证书为 10年或者更久，但未声明集群 Kubelet 组件证书，Kubelet 组件证书默认有效期为1年。集群运行1年以后就会导致报 certificate has expired or is not yet valid 错误，导致集群 Node不能和集群 Master正常通信。

通过以下命令可以快速了解证书过期情况：

openssl x509 -in kubelet.crt -noout -text | grep "Not"

openssl x509 -in kubelet-client-current.pem  -noout -text | grep "Not"

openssl s_client -connect 127.0.0.1:10250 | openssl x509 -text | grep -E "Before|After"

openssl x509 -in  /etc/kubernetes/pki/ca.crt  -noout -text | grep "Not"

openssl x509 -in  /etc/kubernetes/pki/apiserver-kubelet-client.crt  -noout -text | grep "Not

那么这个 kubelet.crt 是干啥的？它是 kubelet 本地端口需要的证书。你可以通过以