K8s集群证书续签100年有效期

已于 2024-05-18 17:36:29 修改
阅读量417 收藏 8
点赞数 8
文章标签： kubernetes 容器 云原生
于 2024-05-10 15:59:24 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_50978391/article/details/138669594
版权

基于Docker搭建多主多从K8s高可用集群 - 在线方式 - 永久证书

主机名IP地址角色操作系统硬件配置
ansible10.62.158.200同步工具节点CentOS 72 Core/4G Memory
master0110.62.158.201管理节点01CentOS 72 Core/4G Memory
master0210.62.158.202管理节点02CentOS 72 Core/4G Memory
master0310.62.158.203管理节点03CentOS 72 Core/4G Memory
node0110.62.158.204工作节点01CentOS 71 Core/2G Memory
node0210.62.158.205工作节点02CentOS 71 Core/2G Memory
k8s-ha0110.62.158.206主代理节点CentOS 71 Core/2G Memory
k8s-ha0210.62.158.207备用代理节点CentOS 71 Core/2G Memory

查看当前集群状态

[root@master01 ~]# kubectl get node
NAME       STATUS   ROLES                  AGE   VERSION
master01   Ready    control-plane,master   22d   v1.23.0
master02   Ready    control-plane,master   22d   v1.23.0
master03   Ready    control-plane,master   22d   v1.23.0
node01     Ready    <none>                 22d   v1.23.0
node02     Ready    <none>                 22d   v1.23.0

查看证书过期时间

[root@master01 ~]# kubeadm certs check-expiration
[check-expiration] Reading configuration from the cluster...
[check-expiration] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGED
admin.conf                 Apr 17, 2025 04:39 UTC   342d                                    no      
apiserver                  Apr 17, 2025 04:39 UTC   342d            ca                      no      
apiserver-etcd-client      Apr 17, 2025 04:39 UTC   342d            etcd-ca                 no      
apiserver-kubelet-client   Apr 17, 2025 04:39 UTC   342d            ca                      no      
controller-manager.conf    Apr 17, 2025 04:39 UTC   342d                                    no      
etcd-healthcheck-client    Apr 17, 2025 04:39 UTC   342d            etcd-ca                 no      
etcd-peer                  Apr 17, 2025 04:39 UTC   342d            etcd-ca                 no      
etcd-server                Apr 17, 2025 04:39 UTC   342d            etcd-ca                 no      
front-proxy-client         Apr 17, 2025 04:39 UTC   342d            front-proxy-ca          no      
scheduler.conf             Apr 17, 2025 04:39 UTC   342d                                    no      

CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED
ca                      Apr 15, 2034 04:39 UTC   9y              no      
etcd-ca                 Apr 15, 2034 04:39 UTC   9y              no      
front-proxy-ca          Apr 15, 2034 04:39 UTC   9y              no

GoLang环境安装 - go1.22.0.linux-amd64.tar.gz

# 下载环境文件
[root@master01 ~]# wget https://studygolang.com/dl/golang/go1.17.6.linux-amd64.tar.gz
[root@master01 ~]# ls
anaconda-ks.cfg  calico.yaml  docker  docker-20.10.tar.gz  go1.17.6.linux-amd64.tar.gz  kubeadm-config.yml  nginx.yml  sysconfigure.sh
# 文件解压
[root@master01 ~]# tar -xvf go1.17.6.linux-amd64.tar.gz -C /usr/local/
# 配置环境变量
[root@master01 ~]# echo "export PATH=$PATH:/usr/local/go/bin" >>/etc/profile
[root@master01 ~]# source /etc/profile
# 验证go环境
[root@master01 ~]# go version
go version go1.17.6 linux/amd64

下载kubernetes源码 - kubernetes-1.23.0.tar.gz

# 查看下当前已安装的k8s版本
[root@master01 ~]# kubectl version
Client Version: version.Info{Major:"1", Minor:"23", GitVersion:"v1.23.0", GitCommit:"ab69524f795c42094a6630298ff53f3c3ebab7f4", GitTreeState:"clean", BuildDate:"2021-12-07T18:16:20Z", GoVersion:"go1.17.3", Compiler:"gc", Platform:"linux/amd64"}
Server Version: version.Info{Major:"1", Minor:"23", GitVersion:"v1.23.0", GitCommit:"ab69524f795c42094a6630298ff53f3c3ebab7f4", GitTreeState:"clean", BuildDate:"2021-12-07T18:09:57Z", GoVersion:"go1.17.3", Compiler:"gc", Platform:"linux/amd64"}
# 下载对应的源码
[root@master01 ~]# wget https://github.com/kubernetes/kubernetes/archive/v1.23.0.tar.gz
[root@master01 ~]# ls
anaconda-ks.cfg  calico.yaml  docker  docker-20.10.tar.gz  go1.17.6.linux-amd64.tar.gz  kubeadm-config.yml  kubernetes-1.23.0.tar.gz  nginx.yml  sysconfigure.sh
# 源码解压
[root@master01 ~]# tar -zxvf kubernetes-1.23.0.tar.gz
[root@master01 ~]# ls
anaconda-ks.cfg  calico.yaml  docker  docker-20.10.tar.gz  go1.17.6.linux-amd64.tar.gz  kubeadm-config.yml  kubernetes-1.23.0  kubernetes-1.23.0.tar.gz  nginx.yml  sysconfigure.sh

修改证书有效期

[root@master01 ~]# cd kubernetes-1.23.0
[root@master01 kubernetes-1.23.0]# vim ./cmd/kubeadm/app/constants/constants.go
CertificateValidity = time.Hour * 24 * 365 * 100
[root@master kubernetes-1.23.0]# vim staging/src/k8s.io/client-go/util/cert/cert.go
NotAfter:              now.Add(duration365d * 100).UTC(),

编译源代码文件

[root@master01 kubernetes-1.23.0]# make WHAT=cmd/kubeadm GOFLAGS=-v

注意：若出现 ./hack/run-in-gopath.sh:行34: _output/bin/prerelease-lifecycle-gen: 权限不够 问题时，需要添加权限后再编译源码文件

[root@master01 kubernetes-1.23.0]# yum install rsync jq -y
[root@master01 bin]# chmod +x _output/bin/prerelease-lifecycle-gen
[root@master01 bin]# chmod +x _output/bin/deepcopy-gen

查看编译后kubeadm二进制文件 - kubeadm

[root@master01 kubernetes-1.23.0]# ls -l _output/bin/
总用量 79012
-rwxr-xr-x 1 root root  6275072 5月   9 18:19 conversion-gen
-rwxr-xr-x 1 root root  5996544 5月   9 18:19 deepcopy-gen
-rwxr-xr-x 1 root root  6000640 5月   9 18:19 defaulter-gen
-rwxr-xr-x 1 root root  3376695 5月   9 18:19 go2make
-rwxr-xr-x 1 root root 45170688 5月   9 18:43 kubeadm
-rwxr-xr-x 1 root root  8114176 5月   9 18:19 openapi-gen
-rwxr-xr-x 1 root root  5971968 5月   9 18:19 prerelease-lifecycle-gen

备份原有的kubeadm文件

[root@master01 kubernetes-1.23.0]# cp /usr/bin/kubeadm /usr/bin/kubeadm_bak20240509

替换新编译的kubeadm文件覆盖旧的kubeadm文件

# 集群初始化时仅使用kubeadm二进制文件即可，需要赋予可执行权限
[root@master01 kubernetes-1.23.0]# cp /root/kubernetes-1.23.0/_output/bin/kubeadm /usr/bin/

备份pki证书文件

[root@master01 kubernetes-1.23.0]# cd /etc/kubernetes
[root@master01 kubernetes]# cp -R pki/ pki_bak20240509 -- 未初始化不需要这个

证书更新

# CA根证书不生效，需要集群初始化时才生效
[root@master01 kubernetes]# kubeadm certs renew all
[renew] Reading configuration from the cluster...
[renew] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

certificate embedded in the kubeconfig file for the admin to use and for kubeadm itself renewed
certificate for serving the Kubernetes API renewed
certificate the apiserver uses to access etcd renewed
certificate for the API server to connect to kubelet renewed
certificate embedded in the kubeconfig file for the controller manager to use renewed
certificate for liveness probes to healthcheck etcd renewed
certificate for etcd nodes to communicate with each other renewed
certificate for serving etcd renewed
certificate for the front proxy client renewed
certificate embedded in the kubeconfig file for the scheduler manager to use renewed

Done renewing certificates. You must restart the kube-apiserver, kube-controller-manager, kube-scheduler and etcd, so that they can use the new certificates.

查看证书是否为100年

[root@master01 kubernetes]# kubeadm certs check-expiration
[check-expiration] Reading configuration from the cluster...
[check-expiration] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGED
admin.conf                 Apr 15, 2124 11:45 UTC   99y                                     no      
apiserver                  Apr 15, 2124 11:45 UTC   99y             ca                      no      
apiserver-etcd-client      Apr 15, 2124 11:45 UTC   99y             etcd-ca                 no      
apiserver-kubelet-client   Apr 15, 2124 11:45 UTC   99y             ca                      no      
controller-manager.conf    Apr 15, 2124 11:45 UTC   99y                                     no      
etcd-healthcheck-client    Apr 15, 2124 11:45 UTC   99y             etcd-ca                 no      
etcd-peer                  Apr 15, 2124 11:45 UTC   99y             etcd-ca                 no      
etcd-server                Apr 15, 2124 11:45 UTC   99y             etcd-ca                 no      
front-proxy-client         Apr 15, 2124 11:45 UTC   99y             front-proxy-ca          no      
scheduler.conf             Apr 15, 2124 11:45 UTC   99y                                     no      

CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED
ca                      Apr 15, 2034 04:39 UTC   9y              no      
etcd-ca                 Apr 15, 2034 04:39 UTC   9y              no      
front-proxy-ca          Apr 15, 2034 04:39 UTC   9y              no
上传01管理节点中编译后的kubeadm二进制文件到02管理节点和03管理节点，02管理节点与03管理节点证书有效期调整，操作步骤一致，以下为02管理节点操作过程

上传kubeadm二进制文件

[root@master02 ~]# ls
anaconda-ks.cfg  docker  docker-20.10.tar.gz  kubeadm  sysconfigure.sh

添加执行权限

[root@master02 ~]# chmod +x kubeadm

备份原有的kubeadm文件

[root@master02 ~]# cp /usr/bin/kubeadm /usr/bin/kubeadm_bak20240509

替换新编译的kubeadm文件覆盖旧的kubeadm文件

[root@master kubernetes-1.23.0]# cp /root/kubeadm /usr/bin/

备份pki证书文件

[root@master02 ~]# cd /etc/kubernetes
[root@master02 kubernetes]# cp -R pki/ pki_bak20240509

证书更新

[root@master02 kubernetes]# kubeadm certs renew all
[renew] Reading configuration from the cluster...
[renew] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

certificate embedded in the kubeconfig file for the admin to use and for kubeadm itself renewed
certificate for serving the Kubernetes API renewed
certificate the apiserver uses to access etcd renewed
certificate for the API server to connect to kubelet renewed
certificate embedded in the kubeconfig file for the controller manager to use renewed
certificate for liveness probes to healthcheck etcd renewed
certificate for etcd nodes to communicate with each other renewed
certificate for serving etcd renewed
certificate for the front proxy client renewed
certificate embedded in the kubeconfig file for the scheduler manager to use renewed

Done renewing certificates. You must restart the kube-apiserver, kube-controller-manager, kube-scheduler and etcd, so that they can use the new certificates.

查看证书是否为100年

[root@master02 kubernetes]# kubeadm certs check-expiration
[check-expiration] Reading configuration from the cluster...
[check-expiration] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'

CERTIFICATE                EXPIRES                  RESIDUAL TIME   CERTIFICATE AUTHORITY   EXTERNALLY MANAGED
admin.conf                 Apr 15, 2124 11:56 UTC   99y                                     no      
apiserver                  Apr 15, 2124 11:56 UTC   99y             ca                      no      
apiserver-etcd-client      Apr 15, 2124 11:56 UTC   99y             etcd-ca                 no      
apiserver-kubelet-client   Apr 15, 2124 11:56 UTC   99y             ca                      no      
controller-manager.conf    Apr 15, 2124 11:56 UTC   99y                                     no      
etcd-healthcheck-client    Apr 15, 2124 11:56 UTC   99y             etcd-ca                 no      
etcd-peer                  Apr 15, 2124 11:56 UTC   99y             etcd-ca                 no      
etcd-server                Apr 15, 2124 11:56 UTC   99y             etcd-ca                 no      
front-proxy-client         Apr 15, 2124 11:56 UTC   99y             front-proxy-ca          no      
scheduler.conf             Apr 15, 2124 11:56 UTC   99y                                     no      

CERTIFICATE AUTHORITY   EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED
ca                      Apr 15, 2034 04:39 UTC   9y              no      
etcd-ca                 Apr 15, 2034 04:39 UTC   9y              no      
front-proxy-ca          Apr 15, 2034 04:39 UTC   9y              no
长夜多忧思
关注
  • 8
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
K8S集群证书监控ssl-exporter监控模板
01-14
原文链接：https://blog.csdn.net/m0_37814112/article/details/122349602
k8s 1.23.17版本kubeadm 100年CA有效期
09-20
使用yum -y install kubelet-1.23.17 kubeadm-1.23.17 kubectl-1.23.17安装完成后 初始化之前，用自编译 kubeadm替换官方的kubeadm：`/usr/bin/kubeadm`，可将证书过期时间改为 `100` 年，基于` 1.23.17` 版本的 kubernetes
K8s源码文件，可用于设置证书过期时间
05-10
K8s源码文件，可用于设置证书过期时间，使用GoLong环境编译后，生成kubeadm二进制文件，赋予执行权限后，在K8s集群初始化后生效
k8s证书100年到期
qwert1920的博客
01-04 1697
下载特定版本源码1234或者使用 git 获取12345。
kubernetes集群更换证书(设置100年证书)
菜鸟运维升级之路
04-14 622
操作系统: centos7.9 x86_64安装方式: kubeadm。
kubeadm安装的k8s 证书过期升级为100年证书
y_zilong的博客
02-09 720
使用重新编译的100年版本的kubeadm程序替换原有的一年kubeadm，重启部分k8s组件 1、备份配置文件 kubectl get cm -o yaml -n kube-system kubeadm-config >/root/kubeadm_20211222.yaml 2、备份证书 cd /etc/ cp -ar kubernetes kubernetes.bak.20211222 tar -czf kubernetes.tar.gz.20211222 kubernetes 3、
k8s相关证书的更新
weixin_42323738的博客
03-13 1119
k8s证书更新
k8s证书修改为10年文件
06-13
总结起来，将k8s证书的有效期延长至10年涉及到证书的生成、控制器配置、现有证书的更新以及组件配置等多个环节。这个过程需要对k8s的架构和证书管理有深入理解，同时要注意操作的安全性和服务的连续性。通过合理的...
kubeadm初始化k8s集群延长证书过期时间.bash
06-01
kubeadm初始化k8s集群延长证书过期时间
K8S主机Prometheus监控ssl证书资源清单及镜像文件
01-14
监控SSL证书的状态，如有效期、签名算法等，可以预防由于证书过期或不安全导致的服务中断。 Prometheus监控SSL证书通常涉及以下几个步骤： 1. **配置Exporter**：`prometheus-ssl-exporter`是一个Prometheus ...
升级K8S1.18.20证书有效期为100年
在我的博客中，你将看到我对生活的热爱，对知识的渴望，以及对创新的追求。我会分享我在各个领域的思考和发现，我的目标是创造一个充满活力、启迪心灵的交流平台，让每一个访问者都能从中获得新的观点和启示。
08-24 445
K8S集群有证书的概念，之前一直是使用默认的，默认都是1年和10年的，1年有效期这显然对于生产环境是不合适的，于是调整K8S证书，升级K8S证书有效期为100年。kubeadm文件链接：https://pan.baidu.com/s/19ONnQS4vaJ1Lc-9Amh_RAA?3、上传kubeadm文件到/usr/bin（如是3节点master集群，三台都需替换）4、更新证书（如是3节点master集群，三台都需替换）1、检查当前集群证书有效期。2、备份原有的配置文件。
k8s踩坑(三)、kubeadm证书/etcd证书过期处理
热门推荐
ywq935的博客
03-08 2万+
故障现象 使用kubeadm部署的集群，在运行了一年之后今天，出现k8s api无法调取的现象，使用kubectl命令获取资源均返回如下报错: Unable to connect to the server: x509: certificate has expired or is not yet valid 故障排查 查看apiserver.crt证书的签署日期和过期日期： root@9027:...
K8S POD控制器：从基础到高级实战技巧
sdgfafg_25的博客
07-16 918
Kubernetes是由Google开发并捐赠给Cloud Native Computing Foundation的一个项目。它允许用户自动部署、扩展和管理容器化应用，并在提供这些服务的同时，保持高效和可靠。Kubernetes的核心组件之一是POD，它是Kubernetes应用程序的基本执行单元。一个POD中可以包含一个或多个容器，这些容器共享存储、网络和运行配置。在Kubernetes中，POD控制器则是负责确保POD的生命周期管理。它们确保在任何给定时间，集群中都有正确数量的POD副本在运行。
[k8s源码]4.informer
weixin_45396500的博客
07-16 713
这段代码定义了 PodInformer 接口及其实现，采用了工厂模式和延迟初始化策略来管理 Kubernetes Pod 资源的 Informer。核心是 Informer() 方法，它通过调用 factory.InformerFor() 来获取或创建 cache.SharedIndexInformer 实例。这个过程的本质是构造一个 cache.SharedIndexInformer 类型的 informer。
使用Velero备份与恢复K8s集群及应用
07-19 648
备份容灾一键恢复集群迁移支持备份pv，备份数据加密，通过两种备份插件实现，通过启动命令upload-type参数更改。
RKE部署k8s
professorman的博客
07-19 235
安装成功之后会在当前目录生成kube_config_cluster.yml文件，此为k8s的kube_config文件，需要配置kubectl默认读取文件才可执行kubectl命令进行查询。如果需要增加node节点或者etcd节点，只需要更改cluster.yml后rke up --update-only即可。则在install的时候加上。此处密码最少12个字符。rke部署k8s集群。
k8s入门：从安装到实际应用
linux
07-16 996
本文介绍了如何在本地安装 Kubernetes 并部署一个简单的 Nginx 应用。Kubernetes 是一个功能强大的平台，提供了丰富的功能来管理和扩展容器化应用程序。通过掌握本文介绍的基本概念和操作，你可以开始探索 Kubernetes 的更多高级功能，以满足实际应用的需求。
最新版kubeadm搭建k8s（已成功搭建）
最新发布
weixin_45565886的博客
07-20 387
最新版kubeadm搭建k8s（已成功搭建）

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值