更新Kubernetes集群证书

Kubernetes集群证书的使用寿命为一年。如果Kubernetes集群证书在Kubernetes master节点上过期，则kubelet服务将失败。使用kubectl命令，例如kubectel get pod或kubectl exec -it container_name bash，将导致类似的消息：

Unable to connect to the server: x509: certificate has expired or is not yet valid

处理方法：重新生成新证书并更新worker节点。

注：以下操作在k8s 1.11.5环境上验证OK。

注意：

1. 执行以下操作前，请先备份相关文件
2. 请勿替换CA证书，原因可参考issue（个人验证发现，是因为kubelet证书未删除导致，删除后重启kubelet问题解决）

1. 在/root目录下创建一个配置文件kubeadm.yaml，其中advertiseAddress设置为Kubernetes主节点的IP地址（或集群虚IP）。例如：

   apiVersion: kubeadm.k8s.io/v1alpha1
   kind: MasterConfiguration
   api:
     advertiseAddress: 192.168.136.10
   kubernetesVersion: v1.11.5
   

2. 删除现有证书和密钥文件：

   rm -rf /etc/kubernetes/pki/apiserver.key
   rm -rf /etc/kubernetes/pki/apiserver.crt
   rm -rf /etc/kubernetes/pki/apiserver-kubelet-client.crt
   rm -rf /etc/kubernetes/pki/apiserver-kubelet-client.key
   rm -rf /etc/kubernetes/pki/front-proxy-client.crt
   rm -rf /etc/kubernetes/pki/front-proxy-client.key
   

3. 创建新证书：

   kubeadm --config /root/kubeadm.yaml alpha phase certs apiserver
   kubeadm --config /root/kubeadm.yaml alpha phase certs apiserver-kubelet-client
   kubeadm --config /root/kubeadm.yaml alpha phase certs front-proxy-client
   

4. 删除旧的配置文件：

   rm -rf /etc/kubernetes/admin.conf
   rm -rf /etc/kubernetes/kubelet.conf
   rm -rf /etc/kubernetes/controller-manager.conf
   rm -rf /etc/kubernetes/scheduler.conf 
   rm -rf /var/lib/kubelet/pki/kubelet*
   

5. 生成新配置文件：

   kubeadm --config /root/kubeadm.yaml alpha phase kubeconfig all
   

6. 确保你的 kubectl 服务正在使用正确的配置文件（根据实际环境配置该环境变量）：

   cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
   export KUBECONFIG=.kube/config
   

7. 重启Kubernetes主节点。

8. 服务器重新启动后，检查以确保kubelet服务正在运行：

   systemctl status kubelet
   

9. 要重新加入工作节点，您需要一个集群令牌。

   对于Kubernetes 1.7，预设了集群令牌。对于Kubernetes1.7之后的版本，您必须创建新令牌，因为在安装时生成的令牌具有有限的生命周期：

   kubeadm token create
   

10. SSH进入每个worker节点并将它们重新连接到Kubernetes主节点。

11. 将工作节点加入Kubernetes集群：

    kubeadm join --token=cluster_token master_ip:6443
    

    其中：

    • cluster_token：在步骤9中创建的令牌
    • master_ip：Kubernetes主节点的IP地址（或集群虚IP地址）

    注意：
    某些版本的kubeadm使用–print-join-command命令行参数。在这些情况下， kubeadm输出重新连接Kubernetes master所需的kubeadm join命令。如果发生这种情况，请在每个工作节点上输入此命令（复制和粘贴）。

12. 确认kubelet服务正在运行，并且worker节点和Kubernetes master之间正常通信。

13. 等几分钟。然后从Kubernetes主节点运行以下命令以确认worker节点是否可用：

    kubectl get nodes