中文
证书轮换
检查证书过期时间
1
# For kubeadm provisioned clusters
2
kubeadm alpha certs check-expiration
3
4
# For all clusters
5
openssl x509 -noout -dates -in /etc/kubernetes/pki/apiserver.crt
Copied!
更新过期时间
根据集群的不同，可以选择如下几种方法来更新证书过期时间（任选一种即可）。
方法1: 使用 kubeadm 升级集群自动轮换证书
1
kubeadm upgrade apply --certificate-renewal v1.15.0
Copied!
方法2: 使用 kubeadm 手动生成并替换证书
1
# Step 1): Backup old certs and kubeconfigs
2
mkdir /etc/kubernetes.bak
3
cp -r /etc/kubernetes/pki/ /etc/kubernetes.bak
4
cp /etc/kubernetes/*.conf /etc/kubernetes.bak
5
6
# Step 2): Renew all certs
7
kubeadm alpha certs renew all --config kubeadm.yaml
8
9
# Step 3): Renew all kubeconfigs
10
kubeadm alpha kubeconfig user --client-name=admin
11
kubeadm alpha kubeconfig user --org system:masters --client-name kubernetes-admin > /etc/kubernetes/admin.conf
12
kubeadm alpha kubeconfig user --client-name system:kube-controller-manager > /etc/kubernetes/controller-manager.conf
13
kubeadm alpha kubeconfig user --org system:nodes --client-name system:node:$(hostname) > /etc/kubernetes/kubelet.conf
14
kubeadm alpha kubeconfig user --client-name system:kube-scheduler > /etc/kubernetes/scheduler.conf
15
16
# Another way to renew kubeconfigs
17
# kubeadm init phase kubeconfig all --config kubeadm.yaml
18
19
# Step 4): Copy certs/kubeconfigs and restart Kubernetes services
Copied!
方法3: 非 kubeadm 集群
kubelet 证书自动轮换
证书轮换的开启方法如下：
1
# Step 1): Config kube-controller-manager
2
kube-controller-manager --experimental-cluster-signing-duration=87600h \
3
--feature-gates=RotateKubeletClientCertificate=true \
4
...
5
6
# Step 2): Config RBAC
7
# Refer https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet-tls-bootstrapping/#approval
8
9
# Step 3): Config Kubelet
10
kubelet --feature-gates=RotateKubeletClientCertificate=true \
11
--cert-dir=/var/lib/kubelet/pki \
12
--rotate-certificates \
13
--rotate-server-certificates \
14
...
Copied!
撤销证书
Kubernetes 目前还不支持通过 Certificate Rovocation List (CRL) 来撤销证书。所以，目前撤销证书的唯一方法就是使用新的 CA 重新生成所有证书，然后再重启所有服务。
附: 名词解释
- CA (Certificate Authority)：根证书签发机构，用于签发证书（即证明证书是合法的）。
- CA 拥有私钥 (ca.key) 和证书 (ca.crt，包含公钥)。对于自签名 CA 来说， ca.crt 需要分发给所有客户端。
- ca.crt 会自动挂载到 Pod 中
/var/run/secrets/kubernetes.io/serviceaccount/ca.crt
- key (Public key or Private key)：即公钥或者私钥。
- csr (Certificate Signing Request)：证书签名请求，用于向权威证书颁发机构获得签名证书的申请，申请中通常包含公钥（私钥自己保存）。
- crt/cer (Certificate)：已签发的证书，一般是 PEM 格式（也支持 DER 格式）。
参考文档
最近更新 8mo ago