云原生知识星球
0%

更新Kubernetes集群证书

发表于 更新于 分类于 阅读时长 ≈ 2 分钟

Kubernetes集群证书的使用寿命为一年。如果Kubernetes集群证书在Kubernetes master节点上过期，则kubelet服务将失败。使用kubectl命令，例如kubectel get pod或kubectl exec -it container_name bash，将导致类似的消息：

1
Unable to connect to the server: x509: certificate has expired or is not yet valid

处理方法：重新生成新证书并更新worker节点。

注意：

  1. 执行以下操作前，请先备份相关文件
  2. 请勿替换CA证书，原因可参考issue（个人验证发现，是因为kubelet证书未删除导致，删除后重启kubelet问题解决）

  1. 在/root目录下创建一个配置文件kubeadm.yaml，其中advertiseAddress设置为Kubernetes主节点的IP地址（或集群虚IP）。例如：

    1
    2
    3
    4
    5
    apiVersion: kubeadm.k8s.io/v1alpha1
    kind: MasterConfiguration
    api:
      advertiseAddress: 10.165.80.110
    kubernetesVersion: v1.10.11

  2. 删除现有证书和密钥文件：

    1
    2
    3
    4
    5
    6
    rm -rf /etc/kubernetes/pki/apiserver.key
    rm -rf /etc/kubernetes/pki/apiserver.crt
    rm -rf /etc/kubernetes/pki/apiserver-kubelet-client.crt
    rm -rf /etc/kubernetes/pki/apiserver-kubelet-client.key
    rm -rf /etc/kubernetes/pki/front-proxy-client.crt
    rm -rf /etc/kubernetes/pki/front-proxy-client.key

  3. 创建新证书：

    1
    2
    3
    kubeadm --config /root/kubeadm.yaml alpha phase certs apiserver
    kubeadm --config /root/kubeadm.yaml alpha phase certs apiserver-kubelet-client
    kubeadm --config /root/kubeadm.yaml alpha phase certs front-proxy-client

  4. 删除旧的配置文件：

    1
    2
    3
    4
    5
    rm -rf /etc/kubernetes/admin.conf
    rm -rf /etc/kubernetes/kubelet.conf
    rm -rf /etc/kubernetes/controller-manager.conf
    rm -rf /etc/kubernetes/scheduler.conf 
    rm -rf /var/lib/kubelet/pki/kubelet*

  5. 生成新配置文件：

    1
    kubeadm --config /root/kubeadm.yaml alpha phase kubeconfig all

  6. 确保你的 kubectl 服务正在使用正确的配置文件（根据实际环境配置该环境变量）：

    1
    2
    cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
    export KUBECONFIG=.kube/config

  7. 重启Kubernetes主节点。

  8. 服务器重新启动后，检查以确保kubelet服务正在运行：

    1
    systemctl status kubelet

  9. 要重新加入工作节点，您需要一个集群令牌。

    对于Kubernetes 1.7，预设了集群令牌。对于Kubernetes1.7之后的版本，您必须创建新令牌，因为在安装时生成的令牌具有有限的生命周期：

    1
    kubeadm token create

  10. SSH进入每个worker节点并将它们重新连接到Kubernetes主节点。

  11. 将工作节点加入Kubernetes集群：

    1
    kubeadm join --token=cluster_token master_ip:6443

    其中：

    • cluster_token：在步骤9中创建的令牌
    • master_ip：Kubernetes主节点的IP地址（或集群虚IP地址）

    注意：
    某些版本的kubeadm使用–print-join-command命令行参数。在这些情况下， kubeadm输出重新连接Kubernetes master所需的kubeadm join命令。如果发生这种情况，请在每个工作节点上输入此命令（复制和粘贴）。

  12. 确认kubelet服务正在运行，并且worker节点和Kubernetes master之间正常通信。

  13. 等几分钟。然后从Kubernetes主节点运行以下命令以确认worker节点是否可用：

    1
    kubectl get nodes