k8s 更换证书

当前版本：k8s-v1.22.15

kubeadm 默认证书为一年，一年过期后，会导致api-server不可用，使用过程中会出现以下报错：x509: certificate has expired or is not yet valid.

1. 查看当前证书 有效期

kubeadm certs check-expiration
# 较老版本使用 以下命令查看 证书有效期
kubeadm alpha certs check-expiration

image-20221113115837939.png

2. 更换证书(自定义证书有效期)

2.1 安装 go 语言基础环境

# 如果 k8s 版本较高，则需要 go 语言版本 1.19 以上

# 01. 下载 go 语言软件包
mkdir -p /server/tools
cd /server/tools
wget https://studygolang.com/dl/golang/go1.19.1.linux-amd64.tar.gz

# 02. 解压并配置环境变量
tar xf go1.19.1.linux-amd64.tar.gz -C /usr/local

cat >> /etc/profile <<'EOF'
export PATH=$PATH:/usr/local/go/bin
EOF
source /etc/profile

# 03. 检查
go version

2.2 下载 k8s 源码，进行编译

注意： 下载 当前环境对应版本的 源码

# 01. 查看当前环境 k8s 版本
kubectl version

# 02. 下载源码
cd /server/tools
wget https://github.com/kubernetes/kubernetes/archive/refs/tags/v1.22.15.tar.gz

# 03. 解压
tar xf v1.22.15.tar.gz

2.2.1 修改 CA 有效期为 100 年（默认10 年）

# 01. 备份源文件
cd /server/tools/kubernetes-1.22.15/staging/src/k8s.io/client-go/util/cert
cp cert.go{,.bak}

# 02. 修改文件内容
 func NewSelfSignedCACert(cfg Config, key crypto.Signer) (*x509.Certificate, error) {
         now := time.Now()
         tmpl := x509.Certificate{
                 SerialNumber: new(big.Int).SetInt64(0),
                 Subject: pkix.Name{
                         CommonName:   cfg.CommonName,
                         Organization: cfg.Organization,
                 },
                 DNSNames:              []string{cfg.CommonName},
                 NotBefore:             now.UTC(),
                 //NotAfter:              now.Add(duration365d * 10).UTC(),
                 // 修改为 100 年，默认为 10 年
                 NotAfter:              now.Add(duration365d * 100).UTC(),
                 KeyUsage:              x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature | x509.KeyUsageCertSign,
                 BasicConstraintsValid: true,
                 IsCA:                  true,
         }
 
         certDERBytes, err := x509.CreateCertificate(cryptorand.Reader, &tmpl, &tmpl, key.Public(), key)
         if err != nil {
                 return nil, err
         }
         return x509.ParseCertificate(certDERBytes)
 }

image-20221113125940895.png

2.2.2 修改证书 有效期为 100年（默认1年）

# 01. 备份源文件
cd /server/tools/kubernetes-1.22.15/cmd/kubeadm/app/constants
cp constants.go{,.bak}

# 02. 修改文件内容

image-20221113130428980.png

2.2.3 编译 更换 原来的 kubeadm 命令

# 01. 重新编译kubeadm
make all WHAT=cmd/kubeadm GOFLAGS=-v


# 02. 替换原来的 kubeadm
mv /usr/bin/kubeadm{,.bak}
cp _output/local/bin/linux/amd64/kubeadm /usr/bin/kubeadm
chmod +x /usr/bin/kubeadm

2.3 备份原来 证书和文件

# 01. 备份原证书
cp -a /etc/kubernetes/pki{,.bak}

# 02. 备份元配置文件
cd /etc/kubernetes
mkdir backup
cp -a *.conf backup/

2.4 更新证书

kubeadm certs renew all

image-20221113131513644.png

2.5 检查结果

kubeadm certs check-expiration


docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk '{print $1}' |xargs docker restart 

3. 多个 master 集群案例

## 01. 生成集群配置yaml
kubeadm config view > /root/kubeadm.yaml

## 02. 通过集群配置更新证书
kubeadm certs renew all –config=/root/kubeadm.yaml

## 03. 查看证书时间
kubeadm alpha certs check-expiration

## 04. 重启docker让apiserver、controller、scheduler配置生效
docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk '{print $1}' |xargs docker restart