排除 kubernetes 证书到期问题的根本方法

2024-01-23 20:55:23

谈到 Kubernetes 的集群管理，很多人可能会陷入各种证书管理带来的繁琐问题中，其中就包括 Kubernetes 证书的过期问题。如今，证书已成为访问和授权任何技术生态系统的重要环节。在 Kubernetes 中，证书是保护集群免受未授权访问的关键要素。

生成 Kubernetes 证书时，您需要注意很多问题，其中一个主要注意事项是证书的有效期。您可能会遇到证书在 1 年后过期的问题。如果出现这种情况，可能会导致集群中的应用程序发生故障。本文将探讨解决此问题的方法，重点关注 Kubernetes 证书的生成和管理，并提供简单易行的方法帮助您解决此问题。

问题现象

使用 kubeadm 工具安装 Kubernetes 集群时可能会出现此问题，它会生成客户端证书，该证书在 1 年后到期。随着 Kubernetes 版本的更新，证书有效期可能会发生变化。您需要密切注意证书的有效期并采取相应措施更新证书。如果您没有及时更新证书，可能会导致集群中的应用程序发生故障。

根本原因

这个问题的根本原因在于 kubeadm 工具默认生成的客户端证书的有效期为 1 年。这可能是出于安全的考虑，因为这将限制潜在安全漏洞的存在时间。然而，这也可能给集群管理带来挑战，需要定期维护和更新证书。

排除办法

解决此问题的方法是更新证书的有效期。您可以通过修改 kubeadm 配置文件或使用 kubectl 命令来实现。在 kubeadm 配置文件中，您可以通过设置证书有效期参数来延长证书的有效期。

apiVersion: kubeadm.k8s.io/v1beta2
kind: InitConfiguration
certificates:
- bearerToken:
    token: "ABCDEFG"
- clientKey:
    extraConfig:
      subjectAltNames:
        sans:
        - "DNS:kubernetes"
        - "DNS:kubernetes.default"
        - "IP:127.0.0.1"
    keyUsage:
      baseKeyUsage:
        certSign
        crlSign
        decipherOnly
        encipherOnly
        keyAgreement
      extendedKeyUsage:
        clientAuth
        serverAuth
      keyUsage:
        baseKeyUsage:
          certSign
          crlSign
          decipherOnly
          encipherOnly
          keyAgreement
      extendedKeyUsage:
        clientAuth
        serverAuth
    notBefore: "00:00:00"
    notAfter: "24:00:00"

在上面的示例中，证书的有效期设置为 24 小时。您可以根据需要调整这个值。

您还可以使用 kubectl 命令来更新证书的有效期。以下命令将更新所有证书的有效期至 24 小时：

kubectl certificate renew all --certificate-key-usages=client auth --request-header-client-ca-file=/etc/kubernetes/pki/ca.crt --certificate-signing-request-file=/etc/kubernetes/pki/ca.csr