Как безопасно и полностью обновить сертификаты k8s？

Question

Как обновить сертификат k8s:

В настоящее время срок действия некоторых сертификатов в кластере k8s истек, что означает:

Невозможно подключиться к серверу: x509: срок действия сертификата истек или истекеще не действует.Посмотрите на мастер кластера онлайн.

Срок действия ca.crt и front-proxy-ca.crt не истек, но срок действия front-proxy-client.crt, apiserver-kubelet-client.crt и apiserver.crt истек.

Таким образом, при ручной передаче существующего ca.key генерируется apiserver.crt на мастере См. Здесь .Однако возникли новые ошибки:

сервер запросил у клиента учетные данные

Как обновить сертификат кластера k8s?

спасибо!

Answer 1

Последний kubeadm должен иметь поддержку this .

Ожидаемые команды:

renew all
renew apiserver
renew apiserver-kubelet-client
renew apiserver-etcd-client
renew front-proxy-client
renew etcd-server
renew etcd-peer
renew etcd-healthcheck-client

Как правило, вы должны просмотреть все сертификаты, указанные выше, вы также можете обновить их вручную, используя openssl или cfssl и используя CA в /etc/kubernetes/pki/ca.pem