批量替换K8s secrets 中某个特定域名的tls证书

此脚本批量替换K8s secrets 中某个特定域名的tls证书

对openssl的版本有强依赖 使用前要检查一下

certificate_data=$(cat tqsys.cn.pem)

openssl x509 -checkend 864000 -noout -in <(echo "$certificate_data")

Certificate will expire #表示在-checkend 864000 秒后 会过期

Certificate will  not expire # 表示不会过期

是检测这个字符串来判断是否过期

如果使用其他版本的opnessl可能输出不一致 导致脚本使用错误

```shell
#!/bin/bash

# 定义新证书和私钥的路径
NEW_CERT_PATH="./tqsys.cn.pem"
NEW_KEY_PATH="./tqsys.cn.key"
KUBE_PARA='--kubeconfig=/etc/kubernetes-ack/kubeconfig'

# 定义需要筛选的域名
TARGET_DOMAIN="tqsys.cn"

# 定义一个函数来检查证书是否过期，并在过期时替换
replace_expired_certificate() {
    local secret_name=$1
    local namespace=$2
    local certificate_data=$(kubectl $KUBE_PARA get secret "$secret_name" -n "$namespace" -o jsonpath='{.data.tls\.crt}' | base64 --decode)
    # 检查证书是否过期
    if openssl x509 -checkend 864000 -noout -in <(echo "$certificate_data") | grep -q "Certificate will expire"; then
        local cert_domains=$(openssl x509 -in <(echo "$certificate_data") -noout -text | grep -A 1 "Subject Alternative Name" | tail -n 1 | tr -d ' ' | sed 's/,/\n/g')
        for domain in $cert_domains; do
            echo $domain
            if [[ "$domain" == *"$TARGET_DOMAIN"* ]]; then
                echo "Expired certificate for secret $secret_name in namespace $namespace with domain $TARGET_DOMAIN. Replacing with new certificate..."
                kubectl $KUBE_PARA delete  secret $secret_name -n $namespace
                kubectl $KUBE_PARA create secret tls $secret_name --key $NEW_KEY_PATH --cert $NEW_CERT_PATH -n $namespace
                # 使用 kubectl $KUBE_PARA patch 命令替换证书和私钥
                #kubectl $KUBE_PARA patch secret "$secret_name" -n "$namespace" --type='json' -p="[{'op': 'replace', 'path': '/data/tls.crt', 'value': '$(base64 $NEW_CERT_PATH)'},{'op': 'replace', 'path': '/data/tls.key', 'value': '$(base64 $NEW_KEY_PATH)'}]"
                return 0
            fi
        done
    fi
    return 1
}

# 遍历所有的名称空间
for ns in $(kubectl $KUBE_PARA get ns --no-headers | awk '{print $1}')
do
    echo "Namespace: $ns"
    # 获取当前名称空间下所有类型为 kubernetes.io/tls 的 secret
    secrets=$(kubectl $KUBE_PARA get secrets -n "$ns" -o jsonpath='{.items[?(@.type=="kubernetes.io/tls")].metadata.name}')
    
    # 遍历每个 secret
    for secret in $secrets; do
        replace_expired_certificate "$secret" "$ns"
    done
done

```