kubeadm证书过期（kubeadm 证书有效期更改）



kubeadm 默认证书为一年，一年过期后，会导致api service不可用，使用过程中会出现：x509: certificate has expired or is not yet valid.

1、创建工作目录

2、下载go环境(搜索go 中文网既可下载)

3、设置环境变量

4、下载kubernetes源码(提前安装git)

5、切换当前集群的版本

6、修改kubeadm源码包更新策略

6.1、进入到下载的源码包目录下

1.14版本之前修改此目录内容

6.2、1.14版本至今修改此目录下内容

6.3、添加内容如下（注意前面空格处是tab键）

6.4、开始编译kubeadm

6.5、生成新的kube-config.yaml配置文件

6.6、生成新的证书，kube-config.yaml指定你刚生成的文件

6.7、备份原有的conf文件

6.8、根据新证书重新生成新的配置文件

6.9、替换老的config文件

6.10、将master1上编译出的kubeadm拷贝到master2和master3(先在2和3备份一下)

6.11、在master2和master3分别执行以下操作

7、在三台master上重启kube-apiserver，kube-controller，kube-scheduler，etcd这四个容器，并重启kubelet，使其生效

8、验证

9、批量验证证书

kubelet证书分为server和client两种， k8s 1.9默认启用了client证书的自动轮换，但server证书自动轮换需要用户开启

1、增加 kubelet 参数

vim /etc/systemd/system/kubelet.service.d/10-kubeadm.conf

2、增加 controller-manager 参数

vim /etc/kubernetes/manifests/kube-controller-manager.yaml

3、创建 rbac 对象 创建rbac对象，允许节点轮换kubelet server证书

如果证书已经过期，如何进行重新签发证书 针对kubeadm 1.13.x 及以上处理 准备kubeadm.conf 配置文件一份

1、重新签发命令

2、更新/etc/kubernetes/*.conf文件

3、备份删除旧的/etc/kubernetes/*.conf文件

4、生成新的conf文件

5、完成后重启kube-apiserver,kube-controller,kube-scheduler,etcd这4个容器,最后覆盖config文件

6、针对kubeadm 1.13.0（不包含1.13.0） 以下处理 移动证书和配置【注意！必须移动，不然会使用现有的证书，不会重新生成】

7、创建证书

8、生成新配置文件

9、将新生成的admin配置文件覆盖掉原本的admin文件

10、完成后重启kube-apiserver,kube-controller,kube-scheduler,etcd这4个容器

版权声明：

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若内容造成侵权、违法违规、事实不符，请将相关资料发送至xkadmin@xkablog.com进行投诉反馈，一经查实，立即处理！

转载请注明出处，原文链接：https://www.xkablog.com/bcyy/77543.html