kubernetes kubeadm init 超过24h 重新生成token 加入节点

kubernetes 加入节点

引言

当kubernetes master 节点部署完毕以后 会出现一条命令 表示让其他节点加入集群

kubeadm join --token aa78f6.8b4cafc8ed26c34f --discovery-token-ca-cert-hash sha256:0fd95a9bc67a7bf0ef42da968a0d55d92e52898ec37c971bd77ee501d845b538  172.16.6.79:6443 --skip-preflight-checks

但是 此命令超过24h 就会失效 原因时 默认 kubeadm init 时创建的 token 有效时间只有24h
可通过 kubeadm token list 查看 现在集群内token

[root@k8s-master ~]# kubeadm token list
TOKEN                     TTL         EXPIRES                     USAGES                   DESCRIPTION   EXTRA GROUPS
5n8kmu.4334sk4513a5lu5s   <invalid>   2019-11-20T19:48:05+08:00   authentication,signing   The default bootstrap token generated by 'kubeadm init'.   system:bootstrappers:kubeadm:default-node-token

如果发现 TTL 为 <invalid> 时 原先得token 无效了
所以需要我们手动生成token 重新将节点加入集群
需要先删除 无效 token

kubeadm token list |grep invalid | awk '{print "kubeadm token delete "$1 }' | bash

重新生成token

执行命令 kubeadm token create --ttl 0 * --ttl 0 表示此token 永不过期

[root@k8s-master ~]# kubeadm token create --ttl 0
092lre.pwf5xox861222agh

执行 kubeadm token list 查看新生成token 发现 ttl 可永久使用

[root@k8s-master ~]# kubeadm token list
TOKEN                     TTL         EXPIRES                     USAGES                   DESCRIPTION   EXTRA GROUPS
092lre.pwf5xox861222agh   <forever>   <never>                     authentication,signing   <none>        system:bootstrappers:kubeadm:default-node-token
jut0xn.lzvkdp89gzz8n4tw   23h         2020-09-21T18:26:51+08:00   authentication,signing   <none>        system:bootstrappers:kubeadm:default-node-token

获取ca证书sha256编码hash值

执行 命令openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* // 生成hash值

openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* //'
9db128fe4c68b0e65c19bb49226fc717e64e790d23816c5615ad6e21fbe92020

拼接hash值 和 token 生成命令

拼接规则如下
kubeadm join node主机ip地址:6443 --token {token} \ --discovery-token-ca-cert-hash sha256:{生成hash}

可使用如下脚本 直接查看 join

#!/bin/bash
masterip=$(cat /etc/kubernetes/manifests/kube-apiserver.yaml |grep "advertise-address"|awk -F '=' '{print $2}' )

token=$(kubeadm token list |grep forever | head -n 1 |awk '{print $1}')

ca_hash=$(openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* //' )

echo "kubeadm join $masterip:6443 --token $token --discovery-token-ca-cert-hash sha256:$ca_hash " 

sh test.sh 
kubeadm join 192.168.28.150:6443 --token 092lre.pwf5xox861222agh --discovery-token-ca-cert-hash sha256:a57a1df8836c3d83a75343da727965c22754cd3356b2280c231bb6f064041a12 

注意

如果重新加入节点 需要删除 $HOME/.kube/config 文件

iptables -F
rm -rf $HOME/.kube/config