k8s证书有效期时间修改的方法详解-服务器

K8S集群有证书的概念,之前一直是使用默认的,默认都是1年和10年的,1年有效期这显然对于生产环境是不合适的,下面这篇文章主要给大家介绍了关于k8s证书有效期时间修改的相关资料,需要的朋友可以参考下

前提

确保资源池的监控信息都正常，如果有应用正在运行，确保应用能正常被访问到，监控信息也能正常被监控到。

更改有效期

大致分两步。

1、可以先把所有的kubelet的service文件都替换了，然后挨个重启kubelet

2、 controller-manager 一定要先重启备节点，再重启主节点

kubelet证书更新具体步骤(需要root权限)

集群中没有应用运行的情况

a.添加参数

调用下面的命令行修改 kube- controller-manager 组件配置【所有kube master节点都要修改】

都只是修改完配置文件，systemctl daemon-reload，暂时不重启。

# sed -i '/v=2/i\  --experimental-cluster-signing-duration=87600h0m0s \\' /usr/lib/systemd/system/kube-controller-manager.service
 
# sed -i '/v=2/i\  --feature-gates=RotateKubeletServerCertificate=true \\' /usr/lib/systemd/system/kube-controller-manager.service
 
# systemctl daemon-reload

查看修改后的 kube-controller-manager.service文件

IiBzcmM9

2.修改 kubelet 组件配置【所有kube-master 和 kube-node节点都要修改】

# sed -i '/v=2/i\  --feature-gates=RotateKubeletServerCertificate=true \\' /usr/lib/systemd/system/kubelet.service
 
# sed -i '/v=2/i\  --feature-gates=RotateKubeletClientCertificate=true \\' /usr/lib/systemd/system/kubelet.service
 
# sed -i '/v=2/i\  --rotate-certificates \\' /usr/lib/systemd/system/kubelet.service
 
# systemctl daemon-reload

查看kubelet.service内容

IiBzcmM9

集群中有应用运行的情况

先重启备kube-controller-manager节点，最后重启主kube-controller-manager节点服务。

# systemctl restart kube-controller-manager

查看当前主kube-controller-manager，

# kubectl get endpoints kube-controller-manager --namespace=kube-system  -o yaml

备份删除kubelet证书，重启kubelet服务

# cd /etc/kubernetes/ssl/
# mkdir /home/k8app/ssl.bak
# mv kubelet* /home/k8app/ssl.bak
# systemctl restart kubelet
# systemctl status kubelet.service

确认kubelet启动成功，在master主机k8app用户下

$ kubectl get csr

Approve 状态为pending的csr

# kubectl get csr | grep -i pending | awk '{print $1}' | grep -vi name | xargs kubectl certificate approve
 
#执行完后，再检查下
# kubectl get csr

确认csr为Approved,Issued状态

检查证书有效期

便都是10年有效期了

IiBzcmM9

总结

到此这篇关于k8s证书有效期时间修改的文章就介绍到这了,更多相关k8s证书有效期时间内容请搜索编程学习网以前的文章希望大家以后多多支持编程学习网！

目录

前提

更改有效期

集群中有应用运行的情况

检查证书有效期

总结