关于kuberntes证书过期的解决方案

今天刚接收公司的k8s测试集群，就接到一个锅：证书过期了。心里奔腾了一万个马xxxxxx。话说活儿还得自己干呐

方案一

/etc/kubernetes/pki/apiserver.crt                #1年有效期
/etc/kubernetes/pki/front-proxy-ca.crt           #10年有效期
/etc/kubernetes/pki/ca.crt                       #10年有效期
/etc/kubernetes/pki/apiserver-etcd-client.crt    #1年有效期
/etc/kubernetes/pki/front-proxy-client.crt       #1年有效期
/etc/kubernetes/pki/etcd/server.crt              #1年有效期
/etc/kubernetes/pki/etcd/ca.crt                  #10年有效期
/etc/kubernetes/pki/etcd/peer.crt                #1年有效期
/etc/kubernetes/pki/etcd/healthcheck-client.crt  #1年有效期
/etc/kubernetes/pki/apiserver-kubelet-client.crt #1年有效期

确认一下所有证书的过期时间

for i in /etc/kubernetes/pki/*.crt;do echo $i; openssl x509 -in $i -text -noout|egrep "Not Before|Not After";echo "-----------";done

一定要先备份

cd /etc/kubernetes
mkdir bak-2021
cp -a 2020/admin.conf  bak-2021/

kubeadm alpha certs renew all --config kubeadm.conf
##新的也要备份
mkdir baknew
mv *.conf baknew
cp -r manifests manifests_bak2021
cp -r pki pki_bak2021
kubeadm init phase kubeconfig all --config kubeadm.conf

旧的家目录下的config文件重命名，拷贝新的admin.conf到家目录下

mv $HOME/.kube/config $HOME/.kube/config.old2021
cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
chown $(id -u):$(id -g) $HOME/.kube/config

重启etcd、scheduler、controller、apiserver

docker ps | grep -v pause | grep -E "etcd|scheduler|controller|apiserver" | awk '{print $1}' | awk '{print "docker","restart",$1}

方案二

传送门

github上的开源项目，直接git下来就能用

for i in /etc/kubernetes/pki/*.crt;do echo $i; openssl x509 -in $i -text -noout|egrep "Not Before|Not After";echo "-----------";done
bash update-kube-cert.sh
for i in /etc/kubernetes/pki/*.crt;do echo $i; openssl x509 -in $i -text -noout|egrep "Not Before|Not After";echo "-----------";done