kubernetes - 过期后更新kubernetes pki

Question

我的 kubernetes PKI 已过期(确切地说是 API 服务器)，并且我找不到续订的方法。我得到的错误是

May 27 08:43:51 node1 kubelet[8751]: I0527 08:43:51.922595    8751 server.go:417] Version: v1.14.2
May 27 08:43:51 node1 kubelet[8751]: I0527 08:43:51.922784    8751 plugins.go:103] No cloud provider specified.
May 27 08:43:51 node1 kubelet[8751]: I0527 08:43:51.922800    8751 server.go:754] Client rotation is on, will bootstrap in background
May 27 08:43:51 node1 kubelet[8751]: E0527 08:43:51.925859    8751 bootstrap.go:264] Part of the existing bootstrap client certificate is expired: 2019-05-24 13:24:42 +0000 UTC
May 27 08:43:51 node1 kubelet[8751]: F0527 08:43:51.925894    8751 server.go:265] failed to run Kubelet: unable to load bootstrap
kubeconfig: stat /etc/kubernetes/bootstrap-kubelet.conf: no such file or directory

关于 https://kubernetes.io/docs/tasks/administer-cluster/kubeadm/kubeadm-certs/ 的文档描述了如何续订，但仅当 API 服务器未过期时才有效。我尝试过做一个

kubeadm alpha cert renew all

然后重新启动，但这只会导致整个集群失败，因此我回滚到快照(我的集群在 VMware 上运行)。

集群正在运行，所有容器似乎都在工作，但我无法通过 kubectl 访问它，因此我无法真正部署或查询。

我的 kubernetes 版本是 1.14.2。

Answer 1

所以解决方案是(首先备份)

$ cd /etc/kubernetes/pki/
$ mv {apiserver.crt,apiserver-etcd-client.key,apiserver-kubelet-client.crt,front-proxy-ca.crt,front-proxy-client.crt,front-proxy-client.key,front-proxy-ca.key,apiserver-kubelet-client.key,apiserver.key,apiserver-etcd-client.crt} ~/
$ kubeadm init phase certs all --apiserver-advertise-address <IP>
$ cd /etc/kubernetes/
$ mv {admin.conf,controller-manager.conf,kubelet.conf,scheduler.conf} ~/
$ kubeadm init phase kubeconfig all
$ reboot

然后

$ cp -i /etc/kubernetes/admin.conf $HOME/.kube/config

这为我完成了工作，感谢您的提示:)