K8S集群证书已过期且etcd和apiserver已不能正常使用下的恢复方案

最新推荐文章于 2024-06-19 21:43:43 发布
最新推荐文章于 2024-06-19 21:43:43 发布
阅读量1.2k 收藏 1
点赞数
文章标签： json
原文链接：http://www.cnblogs.com/aguncn/p/10937636.html
版权

在这种比较极端的情况下，要小心翼翼的规划和操作，才不会让集群彻底死翘翘。首先，几个ca根证书是10年期，应该还没有过期。我们可以基于这几个根证书，来重新生成一套可用的各组件认证证书。

前期，先制定以下方案步骤，能否实现，待验证。

一，制作证书的基本文件。

Ca-csr.json(因为根证书是OK的，所以这个文件，可是列在这里，不会用上)

{
  "CN": "kubernetes",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "ca": {
    "expiry": "438000h"
  }
}

Ca-config.json(它用来从自签名根ca.crt和ca.key生成新的证书，可以共用)

{
  "signing": {
    "default": {
      "expiry": "43800h"
    },
    "profiles": {
      "kubernetes": {
        "usages": [
            "signing",
            "key encipherment",
            "server auth",
            "client auth"
        ],
        "expiry": "43800h"
      }
    }
  }
}

二，重新生成etcd系列证书((注意，这是依据/etc/kubernetes/pki/etcd/目录下的ca证书)

Etcd-server.json

{
    "CN": "etcdServer",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
            "O": "etcd",
            "OU": "etcd Security",
            "C": "CN",
            "L": "ShangHai",
            "ST": "ShangHai"
        }
    ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -hostname=127.0.0.1,localhost,本机ip,小写主机名 \
  -profile=kubernetes \
  etcd-server.json|cfssljson -bare server

etcd-peer.json

{
    "CN": "etcdPeer",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
        "O": "etcd",
        "OU": "etcd Security",
            "C": "CN",
            "L": "ShangHai",
            "ST": "ShangHai"
        }
    ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -hostname=127.0.0.1,localhost,本机ip,小写主机名 \
  -profile=kubernetes \
  etcd-peer.json|cfssljson -bare peer

etcd-client.json

{
    "CN": "etcdClient",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
        "O": "etcd",
        "OU": "etcd Security",
            "C": "CN",
            "L": "ShangHai",
            "ST": "ShangHai"
        }
    ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -profile=kubernetes \
  etcd-client.json |cfssljson -bare client

三，重新制作apiserver证书(注意，这是依据/etc/kubernetes/pki目录下的ca证书)

Apiserver.json

{
    "CN": "kube-apiserver",
    "key": {
        "algo": "rsa",
        "size": 2048
    }
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -hostname=127.0.0.1, kubernetes , kubernetes.default, kubernetes.default.svc, kubernetes.default.svc.cluster.local,本机ip,小写主机名 \
  -profile=kubernetes \
  apiserver.json |cfssljson -bare apiserver

apiserver-kubelet-client.json

{
    "CN": "kube-apiserver-kubelet-client",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
        {
        "O": "system:masters"
        }
    ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -profile=kubernetes \
  apiserver-kubelet-client.json |cfssljson -bare apiserver-kubelet-client

三，重新制作front-proxy证书(注意，这是依据/etc/kubernetes/pki目录下的front-proxy-ca证书，它必须和apiserver的ca不一样，牵扯到apiserver的认证顺序，切记)

Front-proxy-client.json

{
    "CN": "front-proxy-client",
    "key": {
        "algo": "rsa",
        "size": 2048
    }
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -profile=kubernetes \
  front-proxy-client.json |cfssljson -bare front-proxy-client

四，制作scheduler，controller-manager,admin,kubelet,bootstrap证书，此证书只存在于主节点。此证书主要用来生成controller-manager.conf, scheduler.conf, admin.conf, kubelet.conf bootstrap-kubelet.conf。

如果/etc/kubernetes/pki目录下的sa.key,sa.pub存在，则无须更新，因为它没有过期概念。

kube-scheduler-csr.json

{
    "CN": "system:kube-scheduler",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
      {
        "O": "system:kube-scheduler",
      }
    ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -hostname=127.0.0.1,localhost,本机ip,小写主机名 \
  -profile=kubernetes \
  kube-scheduler-csr.json|cfssljson -bare kube-scheduler

kube-controller-manager-csr.json

{
    "CN": "system:kube-controller-manager",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [
      {
        "O": "system:kube-controller-manager",
      }
    ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -hostname=127.0.0.1,localhost,本机ip,小写主机名 \
  -profile=kubernetes \
  kube-controller-manager-csr.json |cfssljson -bare kube-controller-manager

admin-csr.json

{
  "CN": "admin",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "O": "system:masters",
    }
  ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -profile=kubernetes \
  admin-csr.json |cfssljson -bare kube- admin

kubelet-csr.json(这个方法，只适合master上的kubelet运行，不用bootstrap的情况)

{
  "CN": "system:node: 小写主机名",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "O": "system:nodes",
    }
  ]
}
cfssl gencert \
  -ca=ca.crt \
  -ca-key=ca.key \
  -config=ca-config.json \
  -hostname=127.0.0.1,localhost,本机ip,小写主机名 \
  -profile=kubernetes \
  kubelet-csr.json |cfssljson -bare kubelet

如果还需要bootstrap,可以参考下面的url:

https://k2r2bai.com/2018/07/17/kubernetes/deploy/manual-install/

https://www.jianshu.com/p/6650954fa973?tdsourcetag=s_pctim_aiomsg

五，以上文件作好之后，需要根据现在的k8s命令规则改名，还要根据不同的文件，存放于不同的目录。

六，这时，k8s master应该可以启动了。接下来，制作kubeconfig文件，参考url

https://www.cnblogs.com/netsa/p/8134000.html(配置bootstrap及kubelet认证)

https://www.cnblogs.com/charlieroro/p/8489515.html（配置.kube/config文件）

# 设置集群参数

kubectl config set-cluster

# 设置客户端认证参数
kubectl config set-credentials
# 设置上下文参数
kubectl config set-context
# 设置默认上下文
kubectl config use-context
kubectl config set-cluster kubernetes \
  --certificate-authority=/etc/kubernetes/cert/ca.pem \
  --embed-certs=true \
  --server=https://ip:port \
  --kubeconfig=kube-controller-manager.kubeconfig
kubectl config set-credentials system:kube-controller-manager \
  --client-certificate=kube-controller-manager.pem \
  --client-key=kube-controller-manager-key.pem \
  --embed-certs=true \
  --kubeconfig=kube-controller-manager.kubeconfig
kubectl config set-context system:kube-controller-manager \
  --cluster=kubernetes \
  --user=system:kube-controller-manager \
  --kubeconfig=kube-controller-manager.kubeconfig
kubectl config use-context system:kube-controller-manager --kubeconfig=kube-controller-manager.kubeconfig
kubectl config set-cluster kubernetes \
  --certificate-authority=/etc/kubernetes/cert/ca.pem \
  --embed-certs=true \
  --server=https://ip:port \
  --kubeconfig=kube-scheduler.kubeconfig
kubectl config set-credentials system:kube-scheduler \
  --client-certificate=kube-scheduler.pem \
  --client-key=kube-scheduler-key.pem \
  --embed-certs=true \
  --kubeconfig=kube-scheduler.kubeconfig
kubectl config set-context system:kube-scheduler \
  --cluster=kubernetes \
  --user=system:kube-scheduler \
  --kubeconfig=kube-scheduler.kubeconfig
kubectl config use-context system:kube-scheduler --kubeconfig=kube-scheduler.kubeconfig
kubectl config set-cluster kubernetes \
    --certificate-authority=${PKI_DIR}/ca.pem \
    --embed-certs=true \
    --server=https://ip:port \
    --kubeconfig=${K8S_DIR}/admin.conf

kubectl config set-credentials kubernetes-admin \
    --client-certificate=${PKI_DIR}/admin.pem \
    --client-key=${PKI_DIR}/admin-key.pem \
    --embed-certs=true \
    --kubeconfig=${K8S_DIR}/admin.conf

kubectl config set-context kubernetes-admin@kubernetes \
    --cluster=kubernetes \
    --user=kubernetes-admin \
    --kubeconfig=${K8S_DIR}/admin.conf

kubectl config use-context kubernetes-admin@kubernetes \
    --kubeconfig=${K8S_DIR}/admin.conf
kubectl config set-cluster kubernetes \
  --certificate-authority=${PKI_DIR}/ca.pem \
  --embed-certs=true \
  --server=https://ip:port \
  --kubeconfig=${K8S_DIR}/kubelet.conf && \
kubectl config set-credentials system:node:小写主机名 \
  --client-certificate=${PKI_DIR}/kubelet.pem \
  --client-key=${PKI_DIR}/kubelet-key.pem \
  --embed-certs=true \
  --kubeconfig=${K8S_DIR}/kubelet.conf && \
kubectl config set-context system:node:小写主机名@kubernetes \
  --cluster=kubernetes \
  --user=system:node:小写主机名 \
  --kubeconfig=${K8S_DIR}/kubelet.conf && \
kubectl config use-context system:node:小写主机名@kubernetes \
  --kubeconfig=${K8S_DIR}/kubelet.conf
七，当制作好这些文件之后，按k8s安装的位置，分发文件，重启kubelet，应该就可以重新启动好集群了。

 

转载于:https://www.cnblogs.com/aguncn/p/10937636.html

weixin_30273175
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
k8s证书过期处理方案
11-17
Kubernetes证书管理是集群稳定运行的关键环节，当证书过期时，会导致各种操作受阻，例如无法创建Pod，kubectl命令失效，甚至是Kubernetes Dashboard无法访问。本文主要探讨的是针对kubeadm部署的Kubernetes集群中...
kubeadm初始化k8s集群延长证书过期时间.bash
06-01
kubeadm初始化k8s集群延长证书过期时间
解决k8s 证数过期
bangzhou8291的博客
09-29 358
https://www.cnblogs.com/aguncn/p/10488130.html 　　 转载于:https://www.cnblogs.com/hanwei666/p/11605800.html
重启linux后，k8s的kube-apiserver无法正常启动的问题
舒星河的博客
04-01 1万+
重启linux后，k8s的kube-apiserver无法正常启动的问题： 请教老师后，留作参考 首先确认 1.防火墙已经关闭 2.selinux设置disabled完成 3.docker启动正常 4.kubelet运行状态active 5.docker images存在所需镜像 问题描述： 之前使用正常，重启后，kube-apiserver无法启动： 原因分析： 1.master端kubectl get nodes提示： The connection to the server x.x.x.x
【云原生】Kubernetes----证书过期处理办法
最新发布
hy199707的博客
06-19 1489
随着云计算技术的飞速发展，Kubernetes已成为企业构建、扩展和管理容器化应用程序的首选平台。然而，随着集群的持续运行，在企业中经常会遇到一个问题——Kubernetes集群的证书过期。这个问题不仅影响集群的稳定性，还可能带来安全风险。本文将深入探讨Kubernetes证书过期的问题、影响以及解决方案
k8s集群的CA证书过期处理
wzp1986的专栏
03-06 1022
不改变原CA的公私钥，安全地在线地更新集群CA。
k8s master证书过期修复
樛木南雨
09-14 618
版本信息 该方案在kubernetes 1.12.5下验证有效，其他版本可能会略有不同，但基本原理相似。 故障现象 使用kubeadm部署的集群，默认根证书有效期是10年，其余证书的有效期为1年。当证书到期之后，k8s各核心组件之间的交互和协作会因为证书验证失效到时失败，从而导致k8s集群不可用。 故障排查和验证 故障排查 查看k8s各组件的日志会发现ssl认证错误信息。 故障验证 通过openssl x509 -in [证书名称] -noout -text命令能够查看证书的相关信息，从而确定是否证书到期：
k8s 老集群二进制 ca证书过期解决过程
不忘初心，方得始终
02-28 1263
修改.kube/config文件中的certificate-authority-data 字段内容。3. 更新.kube/config 文件（如果有多个master的话，每个节点都需要替换）查看/etc/kubernetes/ssl/ca.pem 有效期。4. 重启etcd和kube-apiserver （必须重启）得到ca.pem证书base64编码后的内容。1. 备份原来的配置文件及证书。2. 重新颁发ca证书。
kubeadm初始化高可用k8s1.20.4集群-etcd集群独立在k8s集群外-kubernetes安装包和详细文档笔记整理
05-29
在本主题中，我们将深入探讨如何使用`kubeadm`工具来初始化一个高可用性的Kubernetes（k8s）1.20.4集群，其中etcd集群独立于k8s集群之外运行。这对于确保数据存储的稳定性和可扩展性至关重要。etcd是Kubernetes的...
kubeadm初始化高可用k8s1.20.4集群-etcd集群独立在k8s集群外详细笔记资料包
06-27
2. **多Master节点**：部署多个Master节点，每个节点都运行kube-apiserver、kube-controller-manager和kube-scheduler，通过负载均衡器分配请求，确保即使单个Master节点故障，集群也能正常运行。 3. **健康检查与...
K8S集群证书监控ssl-exporter监控模板
01-14
原文链接：https://blog.csdn.net/m0_37814112/article/details/122349602
etcd管理，证书配置，扩展，迁移恢复，带证书扩展节点
github_35614077的博客
08-14 1533
广告 | kubernetes各版本离线安装包 etcd 证书配置 生产环境中给etcd配置证书相当重要，如果没有证书，那么k8s集群很容易被黑客利用而去挖矿什么的。做法非常简单，比如你下了一个不安全的镜像，通过程序扫描到etcd的ip和端口，那么黑客就可以绕开apiserver的认证直接写数据，写一些deployment pod等等，apiserver就会读到这些，从而去部署黑客...
k8s 1.13.0 证书过期解决
lihongbao80的专栏
12-16 723
K8S CA证书是10年，但是组件证书的日期只有1年，为了证书一直可用状态需要更新，目前主流的一共有3种： 1、版本升级，只要升级就会让各个证书延期1年，官方设置1年有效期的目的就是希望用户在一年内能升级1次， 2、通过命令续期 （这种只能延长一年） 3、编译源码Kubeadm，设置10年 一、查看证书过期时间 vim test.sh for item in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`; do openssl x509 -in $
解决kubernetes集群证书过期的问题
jiaohuizhuang6019的博客
11-08 363
解决kubernetes集群证书过期的问题
K8S 证书过期后，kubeadm 重新生成证书
艾希射日
07-20 1万+
K8S 各个组件需要与 api-server 进行通信，通信使用的证书都存放在 /etc/kubernetes/pki 路径下，kubeadm 生成的证书默认有效为 1 年，因此需要定时更新证书，否则证书到期会导致整个集群不可用。 本篇文章主要介绍如何通过 kubeadm 重新生成证书。 一. 检查证书是否过期。 可以通过下面两种方式检查 Kubernetes 的证书是否过期。 1. kubeadm 命令查看 可以通过 kubeadm alpha certs check-expiration 命令查看相关证
K8s证书过期后重新生成证书(1.15+版本)
为梦想奋斗
01-11 1830
最近在使用kubectl管理本地测试k8s集群时报错（k8s Unable to connect to the server: x509: certificate has expired or is not yet valid），首先想到的是服务部属已经挺久了应该是证书过期导致，一番网络大法后操作记录如下。 最前面当然是先备份 /etc/kubernetes 目录 cp -Ra /etc/kubernetes /tmp/kubernetes-backup 在操作之前可以使用以下命令查看证书时间，k
kubernetes 证书详解
Kry1702的博客
03-21 1768
类型 CA CN 认证 描述 官方 Etcd etcd/ca.crt,key server.crt,key server, client 对外提供服务 kube-etcd peer.crt,key server, cl...
kubernetes的PKI证书
rendongxingzhe的博客
05-10 1426
Kubernetes 需要 PKI 证书才能进行基于 TLS 的身份验证。如果你是使用 kubeadm 安装的 Kubernetes，则会自动生成集群所需的证书。你也可以自己生成证书。 集群是如何使用证书的 Kubernetes 需要 PKI 才能执行以下操作 1.Kubelet 的客户端证书，用于 API 服务器身份验证 2.API 服务器端点的证书 3.集群管理员的客户端证书，用于 API 服务器身份认证 4.API 服务器的客户端证书，用于和 Kubelet 的会话 5.AP
k8s踩坑(三)、kubeadm证书/etcd证书过期处理
热门推荐
ywq935的博客
03-08 2万+
故障现象 使用kubeadm部署的集群，在运行了一年之后今天，出现k8s api无法调取的现象，使用kubectl命令获取资源均返回如下报错: Unable to connect to the server: x509: certificate has expired or is not yet valid 故障排查 查看apiserver.crt证书的签署日期和过期日期： root@9027:...
k8s集群正常运行中，电脑突然没电关机重启后etcd和apiserver服务启动不起来，怎么排错
06-03
在电脑突然断电关机的情况下，etcd 和 apiserver 服务可能出现了一些问题，导致无法启动。您可以尝试以下步骤进行排错： 1. 检查 etcd 数据目录是否正常。etcd 的数据目录通常位于 /var/lib/etcd 目录下，您可以...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值