K8S证书过期解决办法之替换证书

目录

1 证书过期的情况

2 Kubernetes环境介绍

3 替换证书步骤

3.1 在master上查看各证书的过期时间

3.2 查看master（192.168.0.190）上kubelet证书列表

3.3  查看master（192.168.0.190）上kubelet证书的过期时间

3.4 查看node1和node2上kubelet证书的过期时间（同（2））

3.5 备份相关证书文件的目录

3.6 轮换master上证书

3.7 再次查看证书过期日期

3.8 查看/etc/kubernetes/pki/证书是否更新了

3.9 移除conf文件

3.10 重新生成kubeconfig文件

3.11 查看是否生成出来了新的配置文件

3.12 重新拷贝管理员所用的新的kubeconfig文件

3.13 重启kube-scheduler

4 轮换kubelet证书

4.1 轮换master上的kubelet证书

4.1.1 在master上查看证书签名请求（简称为CSR）

4.1.2 查看当前kubelet证书的过期时间

 4.2 轮换node上的kubelet证书

4.2.1 生成node1所需要的kubelet.conf文件

4.2.2 切换到node1，重启kubelet 

5 重启集群

6 后遗症

---

本博客参考

https://blog.csdn.net/Harry_z666/article/details/128015175

已进行了验证，非常感谢原文博主的记录~

另外，我的kubernetes版本为V1.23.4。

请在更新证书前使用命令行删除之前的工作部署容器，以免产生垃圾数据，对测试产生不必要的麻烦。截图上的时间请忽略，注意内容就好，毕竟记录本篇博客的时候我已经按着教程更新完了证书，都是补图或搜索到的状态类似的图。

1 证书过期的情况

使用kubeadm方式安装的kubernetes集群各个组件所使用的证书期限为1年，到期后，证书失效，kubectl命令无法使用，在使用kubectl命令时，报错无法连接到localhost:8080。

2 Kubernetes环境介绍

192.168.0.190为master节点，192.168.0.191、192.168.0.192分别为node1和node2节点。操作系统为linux 4.19.90-25.2.v2101.gfb01.ky10.aarch64

3 替换证书步骤

3.1 在master上查看各证书的过期时间

kubeadm certs check-expiration

3.2 查看master（192.168.0.190）上kubelet证书列表

ls /var/lib/kubelet/pki/

3.3  查看master（192.168.0.190）上kubelet证书的过期时间

openssl x509 -in /var/lib/kubelet/pki/kubelet-client-current.pem -noout -text | grep Not

3.4 查看node1和node2上kubelet证书的过期时间（同（2））

3.5 备份相关证书文件的目录

（很重要，养成备份好习惯，证书废掉集群就要重新安装了）

cp -r /etc/kubernetes/ /tmp/backup/ # 静态pods配置以及证书
cp -r /var/lib/kubelet/pki/ /tmp/backup.crr #证书pem存放目录

3.6 轮换master上证书

[root@master kubernetes]#kubeadm certs renew all