ssl - 刷新k8s上的过期证书

Question

我在 k8s 集群上遇到了过期证书的问题。我现在运行 1.6.1 版已经一年多了，这意味着我的证书已过期，我必须更新它们。在较新的版本中，这已经自动完成，但我目前无法将我的集群升级到更高版本，所以我必须手动创建证书。

我遇到了以下 link ，其中逐步描述了它，但实际上我已经坚持创建 openssl.cnf 文件，因为我缺少参数。同时，此选项使用的是 .pem key ，而集群上目前使用的是 .crt 和 .key 对。

有什么关于如何推进的建议吗？我还尝试运行 kubeadm alpha phase certs selfsign 命令，该命令创建了新证书，但我仍然遇到 api-server 拒绝 TSL 握手的问题。

http: TLS handshake error from IP:port: remote error: tls: bad certificate

谢谢你和最好的问候，

博斯扬

Answer 1

有详细guide on how to generate certificates .

当您按照该指南进行操作时，请注意一些陷阱:

• 确保您的 CA 证书在您尝试将其他证书延期到的期限内有效。由 CA 证书签署的任何证书的有效性也受 CA 证书到期日期的限制。
• 如果 CA 证书本身的有效期太短，您就会陷入困境。替换该证书将需要修改所有 kubeconfig(运算符、集群组件)。
• 出于与上述相同的原因，请确保您没有意外覆盖 CA key /证书。
• 更换 apiserver 的证书时，您需要重新启动 apiserver。 apiserver 不会自动重新读取证书。