k8s证书过期如何更换node

K8s证书过期后更换node的方法有：更新证书、重新生成证书、手动替换证书、重建节点。其中，更新证书是最为推荐的方法，因为它能够在不影响现有集群运行的情况下，快速有效地更新证书，确保集群的正常运作。更新证书涉及到使用Kubernetes自身提供的工具和命令来自动化处理证书更新，减少人为操作的错误。

一、更新证书

更新证书是最推荐的方法，因为它可以在不中断集群服务的前提下完成证书更新。首先，检查证书的过期时间，可以使用以下命令：

kubectl get csr

使用kubeadm工具，更新证书：

kubeadm alpha certs renew all

更新完成后，重启Kubernetes组件来应用新的证书：

systemctl restart kubelet

这一过程自动化程度高，安全性好，且Kubernetes官方推荐。

二、重新生成证书

重新生成证书是一种较为彻底的方法，适用于证书管理混乱或者需要重置证书的情况。首先，备份现有证书文件，避免意外数据丢失：

cp -r /etc/kubernetes/pki /etc/kubernetes/pki.bak

然后，使用kubeadm命令重新生成证书：

kubeadm init phase certs all

完成后，更新配置文件并重启相关服务：

systemctl restart kubelet

重新生成证书虽然较为彻底，但需要详细检查配置文件，确保没有遗漏。

三、手动替换证书

手动替换证书适用于特定证书过期的情况。首先，生成新的证书：

openssl genrsa -out new-key.pem 2048 openssl req -new -key new-key.pem -out new-csr.pem -subj "/CN=Kubernetes" openssl x509 -req -in new-csr.pem -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out new-cert.pem -days 365

接下来，将新的证书替换到相应目录，并更新配置文件：

cp new-cert.pem /etc/kubernetes/pki/apiserver.crt cp new-key.pem /etc/kubernetes/pki/apiserver.key

重启Kubernetes组件来应用新的证书：

systemctl restart kubelet

手动替换证书方法灵活，但需要较高的操作准确性。

四、重建节点

重建节点适用于节点故障或者需要大规模更新的情况。首先，将旧节点从集群中剔除：

kubectl drain <node-name> --delete-local-data --force --ignore-daemonsets
kubectl delete node <node-name>

然后，在新节点上安装Kubernetes，并加入集群：

kubeadm join <master-ip>:<master-port> --token <token> --discovery-token-ca-cert-hash sha256:<hash>

确保新节点正常运行后，重新分配工作负载。重建节点虽然较为繁琐，但可以确保节点环境的干净和一致性。

五、自动化脚本更新证书

使用自动化脚本更新证书可以大大简化操作步骤，减少人为错误。编写一个脚本，包含所有更新证书的命令：

#!/bin/bash 更新证书 kubeadm alpha certs renew all 重启Kubernetes组件 systemctl restart kubelet

将脚本保存为update_certs.sh，并赋予执行权限：

chmod +x update_certs.sh

定期运行脚本，确保证书的及时更新：

./update_certs.sh

自动化脚本更新证书方法简单高效，适合有持续更新需求的场景。

六、监控和预警

为了避免证书过期对集群造成影响，建立监控和预警机制是非常重要的。使用Prometheus等监控工具，定期检查证书的有效期，并设置预警阈值：

- alert: K8sCertificateExpiry expr: (time() - kubelet_certificate_manager_client_expiration_seconds) / 86400 < 30 for: 1h labels: severity: warning annotations: summary: "K8s Certificate Expiry Warning" description: "Kubernetes certificate will expire in less than 30 days."

通过监控和预警机制，可以提前发现证书即将过期的情况，及时采取措施，确保集群的稳定运行。

七、备份和恢复

定期备份证书和配置文件是确保安全的必要措施。使用工具定期备份：

tar -czf /backup/k8s_certs_$(date +%F).tar.gz /etc/kubernetes/pki

在需要恢复时，解压备份文件，并替换现有证书：

tar -xzf /backup/k8s_certs_$(date +%F).tar.gz -C /etc/kubernetes/pki systemctl restart kubelet

备份和恢复方法简单，能够有效保护数据安全。

八、证书管理工具

使用专用的证书管理工具可以简化证书的生成、更新和替换过程。cert-manager是一个常用的Kubernetes证书管理工具，它能够自动化处理证书的生命周期管理。安装cert-manager：

kubectl apply -f https://github.com/jetstack/cert-manager/releases/download/v1.5.3/cert-manager.yaml

创建证书资源：

apiVersion: cert-manager.io/v1 kind: Certificate metadata: name: example-cert namespace: default spec: secretName: example-cert-tls issuerRef: name: example-issuer dnsNames: - example.com

使用证书管理工具，可以有效简化证书管理工作，提高效率。