k8s（kubernetes）证书续期-Toy模板网

这篇具有很好参考价值的文章主要介绍了k8s（kubernetes）证书续期。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

简介
kubernetes集群上kubeadm 安装的证书默认为 1 年，注意原证书文件必须保留在服务器上才能做延期操作，否则就会重新生成，集群可能无法恢复，这里在证书快到期之前进行续期操作。

证书续期

方式一（推荐）

一、准备工作
1、查看证书有效期
命令： kubeadm certs check-expiration

2、更新证书
命令： kubeadm certs renew all

3、重启master相关组件服务（重启后读取使用新证书）

docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart

方式二

具体操作
查看证书到期时间
一般k8s证书文件都在/etc/kubernetes/pki/下

openssl x509 -noout -text -in /etc/kubernetes/pki/apiserver.crt

多个证书一起查看到期时间

for item in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`;do echo "==========$item=========";openssl x509 -in $item -text -noout| grep Not;done

开始续期
一般是更新master节点证书文件（如果是但master节点则直接执行下面步骤，如果是高可用多master节点则所有master节点都需要执行下面步骤）

备份配证书目录

mkdir /backups/ && cp -r /etc/kubernetes/pki /backups/

生成配置文件

kubeadm config view > /data/backups/cluster.yaml

更新所有证书（对所有证书进行续期）

kubeadm alpha certs renew all --config=/data/backups/cluster.yaml

重启master相关组件服务（重启后读取使用新证书）

docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart

再次查看证书到期时间，查看是否成功续期文章来源地址https://www.toymoban.com/news/detail-638172.html

for item in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`;do echo "==========$item=========";openssl x509 -in $item -text -noout| grep Not;done