Kubernetes 证书过期处理

# Kubernetes 证书过期处理指南（kubeadm 安装）
## 1. 检查证书过期状态
### 查看所有证书有效期
```bash
kubeadm certs check-expiration
```

### 检查具体证书文件
```bash
openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -dates
```

---

## 2. 备份关键文件
```bash
cp -r /etc/kubernetes /etc/kubernetes.backup
```

---

## 3. 更新证书
### 一键续期所有证书
```bash
kubeadm certs renew all
```

### 手动续期单个证书（可选）
```bash
kubeadm certs renew <证书名>  # 例如 scheduler.conf
```

---

## 4. 重启组件加载新证书
### 重启 kubelet
```bash
systemctl restart kubelet
```

### 重启控制平面组件
```bash
# 删除静态 Pod 清单触发重建
rm /etc/kubernetes/manifests/kube-{apiserver,controller-manager,scheduler}.yaml

# 等待 kubelet 自动恢复（约1-2分钟）
# 检查组件状态
kubectl get pods -n kube-system
```

---

## 5. 更新 kubectl 配置
```bash
cp /etc/kubernetes/admin.conf $HOME/.kube/config
chmod 600 $HOME/.kube/config
```

---

## 6. 验证集群状态
### 检查节点状态
```bash
kubectl get nodes
```

### 再次检查证书有效期
```bash
kubeadm certs check-expiration
```

---

## 7. 处理 kubelet 证书（如需）
### 触发自动轮换（需提前配置）
```bash
systemctl restart kubelet
```

### 手动更新（非自动轮换场景）
```bash
kubeadm certs renew kubelet
```

---

## 8. 其他注意事项
### 多节点集群处理
+ 所有 Master 节点需执行相同操作
+ Worker 节点无需操作（证书由 Master 颁发）

### 证书自动轮换配置建议
```yaml
# 修改 kubelet 配置（/var/lib/kubelet/config.yaml）
rotateCertificates: true
serverTLSBootstrap: true
```

### 时间同步
```bash
ntpdate pool.ntp.org  # 确保所有节点时间同步
```

---

## 操作流程图
 B{是否过期?}
    B -- 是 --> C[备份证书目录]
    C --> D[续期证书]
    D --> E[重启组件]
    E --> F[更新kubeconfig]
    F --> G[验证集群状态]
    B -- 否 --> H[结束] -->
![](https://cdn.nlark.com/yuque/__mermaid_v3/7c147cfb1addac43d36641a3615653b0.svg)

## 常见问题
### Q: 更新证书后组件无法启动？
+ 检查证书权限：`chmod 600 /etc/kubernetes/pki/*`
+ 验证证书签名：`openssl verify /etc/kubernetes/pki/apiserver.crt`

### Q: 如何永久解决证书过期问题？
+ 修改 kubeadm 源码重新编译（不推荐）
+ 配置自动轮换策略（推荐）