k8s证书有效期时间修改的方法详解 k8s证书有效期时间修改的方法

前提
更改有效期
集群中有应用运行的情况

检查证书有效期

总结

修改后的集群时间，10年的时间，够集群平稳运行一段时间了。

文章图片

刚部署好k8s的master集群时，查看证书有效期，时间是1年。一年，说长不长，说短不短。查看目前在运行的应用，都已经运行2年多，这样，1年的有效期就会有问题。
【k8s证书有效期时间修改的方法详解】
前提确保资源池的监控信息都正常，如果有应用正在运行，确保应用能正常被访问到，监控信息也能正常被监控到。

更改有效期大致分两步。
1、可以先把所有的kubelet的service文件都替换了，然后挨个重启kubelet
2、controller-manager 一定要先重启备节点，再重启主节点
kubelet证书更新具体步骤(需要root权限)
集群中没有应用运行的情况
a.添加参数
调用下面的命令行修改 kube- controller-manager 组件配置【所有kube master节点都要修改】
都只是修改完配置文件，systemctl daemon-reload，暂时不重启。

# sed -i '/v=2/i\--experimental-cluster-signing-duration=87600h0m0s \\' /usr/lib/systemd/system/kube-controller-manager.service # sed -i '/v=2/i\--feature-gates=RotateKubeletServerCertificate=true \\' /usr/lib/systemd/system/kube-controller-manager.service # systemctl daemon-reload

查看修改后的 kube-controller-manager.service文件

文章图片

2.修改 kubelet 组件配置【所有kube-master 和 kube-node节点都要修改】

# sed -i '/v=2/i\--feature-gates=RotateKubeletServerCertificate=true \\' /usr/lib/systemd/system/kubelet.service # sed -i '/v=2/i\--feature-gates=RotateKubeletClientCertificate=true \\' /usr/lib/systemd/system/kubelet.service # sed -i '/v=2/i\--rotate-certificates \\' /usr/lib/systemd/system/kubelet.service # systemctl daemon-reload

查看kubelet.service内容