当前版本：k8s-v1.22.15
kubeadm 默认证书为一年，一年过期后，会导致api-server不可用，使用过程中会出现以下报错：x509: certificate has expired or is not yet valid.
1. 查看当前证书 有效期
kubeadm certs check-expiration
# 较老版本使用 以下命令查看 证书有效期
kubeadm alpha certs check-expiration
image-20221113115837939.png
2. 更换证书(自定义证书有效期)
2.1 安装 go 语言基础环境
# 如果 k8s 版本较高，则需要 go 语言版本 1.19 以上
# 01. 下载 go 语言软件包
mkdir -p /server/tools
cd /server/tools
wget https://studygolang.com/dl/golang/go1.19.1.linux-amd64.tar.gz
# 02. 解压并配置环境变量
tar xf go1.19.1.linux-amd64.tar.gz -C /usr/local
cat >> /etc/profile <<'EOF'
export PATH=$PATH:/usr/local/go/bin
EOF
source /etc/profile
# 03. 检查
go version
2.2 下载 k8s 源码，进行编译
注意： 下载 当前环境对应版本的 源码
# 01. 查看当前环境 k8s 版本
kubectl version
# 02. 下载源码
cd /server/tools
wget https://github.com/kubernetes/kubernetes/archive/refs/tags/v1.22.15.tar.gz
# 03. 解压
tar xf v1.22.15.tar.gz
2.2.1 修改 CA 有效期为 100 年（默认10 年）
# 01. 备份源文件
cd /server/tools/kubernetes-1.22.15/staging/src/k8s.io/client-go/util/cert
cp cert.go{,.bak}
# 02. 修改文件内容
func NewSelfSignedCACert(cfg Config, key crypto.Signer) (*x509.Certificate, error) {
now := time.Now()
tmpl := x509.Certificate{
SerialNumber: new(big.Int).SetInt64(0),
Subject: pkix.Name{
CommonName: cfg.CommonName,
Organization: cfg.Organization,
},
DNSNames: []string{cfg.CommonName},
NotBefore: now.UTC(),
//NotAfter: now.Add(duration365d * 10).UTC(),
// 修改为 100 年，默认为 10 年
NotAfter: now.Add(duration365d * 100).UTC(),
KeyUsage: x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature | x509.KeyUsageCertSign,
BasicConstraintsValid: true,
IsCA: true,
}
certDERBytes, err := x509.CreateCertificate(cryptorand.Reader, &tmpl, &tmpl, key.Public(), key)
if err != nil {
return nil, err
}
return x509.ParseCertificate(certDERBytes)
}
image-20221113125940895.png
2.2.2 修改证书 有效期为 100年（默认1年）
# 01. 备份源文件
cd /server/tools/kubernetes-1.22.15/cmd/kubeadm/app/constants
cp constants.go{,.bak}
# 02. 修改文件内容
image-20221113130428980.png
2.2.3 编译 更换 原来的 kubeadm 命令
# 01. 重新编译kubeadm
make all WHAT=cmd/kubeadm GOFLAGS=-v
# 02. 替换原来的 kubeadm
mv /usr/bin/kubeadm{,.bak}
cp _output/local/bin/linux/amd64/kubeadm /usr/bin/kubeadm
chmod +x /usr/bin/kubeadm
2.3 备份原来 证书和文件
# 01. 备份原证书
cp -a /etc/kubernetes/pki{,.bak}
# 02. 备份元配置文件
cd /etc/kubernetes
mkdir backup
cp -a *.conf backup/
2.4 更新证书
kubeadm certs renew all
image-20221113131513644.png
2.5 检查结果
kubeadm certs check-expiration
docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk '{print $1}' |xargs docker restart
3. 多个 master 集群案例
## 01. 生成集群配置yaml
kubeadm config view > /root/kubeadm.yaml
## 02. 通过集群配置更新证书
kubeadm certs renew all –config=/root/kubeadm.yaml
## 03. 查看证书时间
kubeadm alpha certs check-expiration
## 04. 重启docker让apiserver、controller、scheduler配置生效
docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk '{print $1}' |xargs docker restart
