Kubernetes中Kubeadm证书过期时间的修改与管理

Kubernetes是一个开源的容器编排系统，用于自动化部署、扩展和管理容器化应用程序。在Kubernetes集群中，kubeadm是一个用于初始化和管理Kubernetes集群的命令行工具。kubeadm会自动生成和管理一系列证书，这些证书用于保证集群的安全通信。然而，这些证书默认有一个过期时间，当证书过期后，集群将不再能够正常运行。因此，了解如何查看、延长和自动轮换这些证书是非常重要的。

查看证书有效期

要查看kubeadm管理的证书有效期，可以使用以下命令：

kubeadm alpha certs check-expiration

该命令将列出集群中所有由kubeadm管理的证书及其过期时间。

延长证书有效期

如果发现有证书即将过期，可以使用kubeadm的certs renew命令来延长证书的有效期。例如，要延长apiserver证书的有效期，可以执行以下命令：

kubeadm alpha certs renew apiserver

注意，alpha命令可能会在将来的kubeadm版本中发生变化，所以请查阅最新的官方文档以获取最新的命令和用法。

自动证书轮换

为了确保证书在过期之前得到及时轮换，可以设置自动证书轮换。在kubeadm v1.16及以上版本中，可以启用自动证书轮换功能。

要启用自动证书轮换，需要在kubeadm init或kubeadm join命令中添加--certificate-renewal=true选项。例如，在初始化新的Kubernetes集群时，可以使用以下命令：

kubeadm init --certificate-renewal=true

对于已经存在的集群，可以通过修改kubeadm配置文件来启用自动证书轮换。在/etc/kubernetes/manifests/kube-apiserver.yaml文件中，找到--client-ca-file和--tls-cert-file参数，添加--experimental-cert-rotation=true参数。修改后的示例配置如下：

```yaml
apiVersion: v1
kind: Pod
metadata:
creationTimestamp: null
name: kube-apiserver
namespace: kube-system
spec:
containers:

• command:
  • kube-apiserver
  • —authorization-mode=Node,RBAC
  • —advertise-address=192.168.1.10
  • —allow-privileged=true
  • —client-ca-file=/etc/kubernetes/pki/ca.crt
  • —enable-admission-plugins=NodeRestriction
  • —enable-bootstrap-token-auth=true
  • —etcd-cafile=/etc/kubernetes/pki/etcd/ca.crt
  • —etcd-certfile=/etc/kubernetes/pki/etcd/healthcheck-client.crt
  • —etcd-keyfile=/etc/kubernetes/pki/etcd/healthcheck-client.key
  • —etcd-servers=https://127.0.0.1:2379
  • —insecure-port=0
  • —kubelet-client-certificate=/etc/kubernetes/pki/apiserver-kubelet-client.crt
  • —kubelet-client-key=/etc/kubernetes/pki/apiserver-kubelet-client.key
  • —kubelet-preferred-address-types=InternalIP,ExternalIP,Hostname
  • —proxy-client-cert-file=/etc/kubernetes/pki/front-proxy-client.crt
  • —proxy-client-key-file=/etc/kubernetes/pki/front-proxy-client.key
  • —requestheader-allowed-names=front-proxy-client
  • —requestheader-client-ca-file=/etc/kubernetes/pki/front-proxy-ca.crt
  • —requestheader-extra-headers-prefix=X-Remote-Extra-
  • —requestheader-group-headers=X-Remote-Group
  • —requestheader-username-headers=X-Remote-User
  • —secure-port=6443
  • —service-account-issuer=https://kubernetes.default.svc
  • —service-account-key-file=/etc/kubernetes/pki/sa.pub
  • —service-account-signing-key-file=/etc/kubernetes/pki/sa.key
  • —tls-cert-file=/etc/kubernetes/pki/apiserver.crt
  • —tls-private-key-file=/etc/kubernetes/pki/apiserver.key
  • —experimental-cert-rotation=true