k8s集群如何换api证书

更换Kubernetes集群的API证书是一个复杂的操作，主要包括生成新的证书、更新Kubernetes配置文件、重启相关组件等步骤。首先，需要使用工具生成新的证书，通常可以使用cfssl或cert-manager。接着，将新的证书复制到各个节点上，并更新Kubernetes的配置文件，确保各组件使用新的证书。最后，重启kube-apiserver、kube-controller-manager和kube-scheduler等组件，使其生效。详细操作步骤如下。

一、生成新的API证书

生成新的API证书是更换Kubernetes集群API证书的第一步。可以使用cfssl工具生成证书，cfssl是一个用Go语言编写的开源PKI工具。首先，创建一个配置文件来定义证书的属性，例如Common Name (CN)、组织 (O)、有效期等。然后，通过cfssl命令生成新的证书和私钥。

安装cfssl工具：可以通过包管理器安装，例如在Ubuntu上使用apt-get install -y golang-cfssl。

创建证书配置文件：生成一个JSON配置文件，定义证书的属性。以下是一个示例配置文件：

{
  "CN": "kubernetes",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "US",
      "L": "San Francisco",
      "O": "Kubernetes",
      "OU": "CA",
      "ST": "California"
    }
  ]
}

生成证书和私钥：使用cfssl工具生成新的证书和私钥。

cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=ca-config.json -profile=kubernetes kubernetes-csr.json | cfssljson -bare kubernetes

确保生成的证书和私钥文件（例如kubernetes.pem和kubernetes-key.pem）已经正确生成。

二、更新Kubernetes配置文件

生成新的证书后，需要更新Kubernetes的配置文件，以便使用新的证书和私钥。主要涉及的配置文件包括kube-apiserver、kube-controller-manager和kube-scheduler的配置文件。以下是详细步骤：

备份现有配置文件：在每个节点上备份现有的Kubernetes配置文件，以防出现问题时可以恢复。

cp /etc/kubernetes/pki/apiserver.crt /etc/kubernetes/pki/apiserver.crt.bak cp /etc/kubernetes/pki/apiserver.key /etc/kubernetes/pki/apiserver.key.bak

复制新的证书和私钥：将生成的新证书和私钥复制到每个节点的相应目录。例如：

cp kubernetes.pem /etc/kubernetes/pki/apiserver.crt cp kubernetes-key.pem /etc/kubernetes/pki/apiserver.key

更新kube-apiserver配置文件：在kube-apiserver的配置文件中，更新证书和私钥的路径，使其指向新的证书文件。例如，在kube-apiserver的配置文件中：
```
- --tls-cert-file=/etc/kubernetes/pki/apiserver.crt
- --tls-private-key-file=/etc/kubernetes/pki/apiserver.key
```

三、重启Kubernetes组件

在更新完配置文件之后，需要重启Kubernetes的核心组件，以使新的证书生效。主要涉及到kube-apiserver、kube-controller-manager和kube-scheduler等组件的重启。

重启kube-apiserver：使用systemctl命令重启kube-apiserver服务。
```
systemctl restart kube-apiserver
```
重启kube-controller-manager：同样使用systemctl命令重启kube-controller-manager服务。
```
systemctl restart kube-controller-manager
```
重启kube-scheduler：使用systemctl命令重启kube-scheduler服务。
```
systemctl restart kube-scheduler
```

四、验证证书更新

证书更换操作完成后，需要验证新的证书是否正常工作。可以通过以下方式进行验证：

检查kube-apiserver日志：查看kube-apiserver的日志，确认是否有任何证书相关的错误信息。
```
journalctl -u kube-apiserver
```
使用kubectl命令：使用kubectl命令与API Server进行交互，确保操作正常。例如，获取节点列表：
```
kubectl get nodes
```
检查证书信息：可以使用openssl命令检查新的证书信息，确保证书的有效期、CN等属性正确。
```
openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout
```