【笔记】Kubernetes 中手动及自动化证书更换步骤及注意事项

最新推荐文章于 2025-10-29 20:16:54 发布

原创最新推荐文章于 2025-10-29 20:16:54 发布 · 940 阅读

9 ·

CC 4.0 BY-SA版权

本文为博主原创文章，未经博主允许不得转载。

文章标签：

#笔记 #kubernetes #自动化

K8S 专栏收录该内容

3 篇文章

订阅专栏

如果 Kubernetes API 服务器的 TLS 证书过期，会导致客户端（如 kubectl）无法通过安全连接访问集群，需要及时更换证书。以下是手动更换证书的通用步骤（适用于非自动证书管理的集群，如 kubeadm 部署的集群）。

一、准备工作

备份现有证书证书默认存储在 /etc/kubernetes/pki/ 目录下，先备份旧证书以防万一：

cp -r /etc/kubernetes/pki/ /etc/kubernetes/pki_backup_$(date +%Y%m%d)

生成新证书所需的私钥和 CSR（证书签名请求）使用 OpenSSL 生成新的私钥和 CSR（以 API 服务器证书为例）：

# 生成私钥 
openssl genrsa -out /etc/kubernetes/pki/apiserver.key 2048 
# 生成 CSR（需替换以下参数）： 
# - `commonName (CN)`：通常为 API 服务器的主机名或 IP（如 `kube-apiserver`） 
# - `subjectAltName (SAN)`：包含 API 服务器的 IP、主机名、集群内部 DNS 等 
openssl req -new \ 
  -key /etc/kubernetes/pki/apiserver.key \ 
  -out /etc/kubernetes/pki/apiserver.csr \ 
  -subj "/CN=kube-apiserver" \ 
  -reqexts SAN \ 
  -config <(cat /etc/ssl/openssl.cnf <(echo "[SAN]")) \ 
  -extensions SAN \ 
  -addext "subjectAltName = DNS:kube-apiserver,DNS:kube-apiserver.kube-system.svc,IP:10.0.0.10,IP:192.168.1.100"  # 替换为实际的 SAN 值

注意：subjectAltName 需包含 API 服务器的所有访问地址（如集群内部 IP、负载均衡 IP、DNS 名称等）。

二、生成新证书（两种方式）

方式 1：使用现有 CA 证书签名（推荐）
如果集群原有 CA 证书未过期，可直接用其签名新证书：

# 使用集群 CA 证书签名 API 服务器证书 
openssl x509 -req \ 
  -in /etc/kubernetes/pki/apiserver.csr \ 
  -CA /etc/kubernetes/pki/ca.crt \ 
  -CAkey /etc/kubernetes/pki/ca.key \ 
  -CAcreateserial \ 
  -out /etc/kubernetes/pki/apiserver.crt \ 
  -days 3650  # 证书有效期（天），建议设置较长时间

方式 2：重新生成全新 CA 证书（适用于 CA 证书也过期的情况）
如果 CA 证书已过期，需重新生成 CA 及所有组件证书（风险较高，需谨慎操作）：

# 生成新 CA 私钥和证书 
openssl genrsa -out /etc/kubernetes/pki/ca.key 2048 
openssl req -x509 \ 
  -key /etc/kubernetes/pki/ca.key \ 
  -out /etc/kubernetes/pki/ca.crt \ 
  -subj "/CN=Kubernetes-CA" \ 
  -days 3650 
# 使用新 CA 签名其他组件证书（如 apiserver、controller-manager、scheduler 等） 
# 参考方式 1 的步骤，替换 CA 为新生成的 ca.crt 和 ca.key

三、替换证书并重启服务

替换 API 服务器证书将新生成的 apiserver.crt 和 apiserver.key 替换到对应目录：

mv /etc/kubernetes/pki/apiserver.crt{.old,}  # 备份旧证书 
mv /etc/kubernetes/pki/apiserver.key{.old,} 
cp /path/to/new/apiserver.crt /etc/kubernetes/pki/ 
cp /path/to/new/apiserver.key /etc/kubernetes/pki/

重启 kube-apiserver 服务在控制平面节点上执行：

systemctl restart kube-apiserver 
systemctl status kube-apiserver  # 检查服务状态是否正常

更新其他组件的证书（如有需要）如果其他组件（如 kube-controller-manager、kube-scheduler、kubelet、kubeproxy 等）的证书也依赖旧 CA，需同步更新它们的证书，步骤类似 API 服务器。

四、验证证书更新

检查证书有效期

openssl x509 -noout -dates -in /etc/kubernetes/pki/apiserver.crt

确保 notAfter 时间为未来日期。

测试客户端连接使用 kubectl 命令验证是否能正常连接集群：

kubectl get nodes 
# 若提示权限问题，可能需要更新 kubeconfig 中的 CA 证书（替换为新 ca.crt 的内容）

更新 kubeconfig 中的 CA 证书（如果 CA 已更换）如果重新生成了 CA 证书，需将新 ca.crt 内容更新到 kubeconfig（默认路径：~/.kube/config）：

kubectl config set-cluster kubernetes \ 
  --certificate-authority=/etc/kubernetes/pki/ca.crt \ 
  --embed-certs=true \ 
  --server=https://<API_SERVER_IP>:6443

五、自动化证书管理（推荐方案）

为避免手动维护证书的复杂性，建议使用证书自动轮换工具：

Kubernetes 自带的证书轮换,对于 kubeadm 部署的集群，可启用自动证书更新：

kubeadm alpha certs renew all  # 手动触发更新（1.20+ 版本支持自动轮换）

使用 cert-manager通过 cert-manager 管理 Kubernetes 内的证书，支持 Let’s Encrypt、自签名等多种类型，实现证书自动申请、更新和续签。

注意事项：

生产环境谨慎操作：证书更换可能导致集群短暂中断，建议在维护窗口进行，并提前备份数据。
同步多控制平面节点：如果是多 master 集群，需在所有控制节点上执行证书替换和服务重启。
监控证书有效期：定期检查证书状态，可通过脚本或工具（如 kubectl cert）设置告警。