kubernetes - 在kubeadm中进行阶段认证之后是否需要阶段kubeconfig？

Question

我最近升级了kubeadm，希望可以轮换所有证书，并且在很好的情况下，我还运行了kubeadm init phase certs all，但是我不确定需要采取什么步骤来验证证书是否正确到位并且不会到期。

我看到另外还需要SO answer reference kubeadm init phase kubeconfig all，但是在kubernetes kubeadm documentation中找不到告诉我它需要与阶段证书一起使用。

我需要做什么以确保群集不会遇到过期的证书？

我已经尝试通过连接到安全的本地端口echo -n | openssl s_client -connect localhost:10250 2>&1 | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' | openssl x509 -text -noout | grep Not进行验证，这将使我下个月到期。
openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -text和openssl x509 -in /etc/kubernetes/pki/apiserver-kubelet-client.crt -noout -text的生成日期要提前一年。

这些矛盾的日期肯定让我担心，我会发现自己像其他许多拥有过期证书的人一样。我该如何处理？

感谢您的指导。

Answer 1

从本质上讲kubeadm init phase certs all会重新生成所有证书，包括ca.crt(证书颁发机构)，Kubernetes组件使用基于证书的身份验证来连接到kube-apiserver(kubelet，kube-scheduler，kube-controller-manager)，因此您还必须重新生成通过运行kubeadm init phase kubeconfig all几乎可以完成所有这些配置

请记住，您将必须在所有节点上重新生成kubelet.conf，因为还需要对其进行更新以使用新的ca.crt连接到kube-apiserver。另外，请确保add all your hostnames/IP addresses您的kube-apiserver将要用于kubeadm init phase certs all命令(--apiserver-cert-extra-sans)

通过openssl进行连接时，很可能看不到更新的证书，这是因为尚未重启Kubernetes组件，尤其是kube-apiserver。因此，您将必须启动kube-apiserver，kube-scheduler，kube-controller-manager等(如果正在运行多主控制平面，则必须启动kube-apiserver，kube-scheduler等)，还必须重新启动您所有节点上的kubelet。