docker - k8s的证书如何设置为1年以上？

Question

关闭。这个问题不符合Stack Overflow guidelines .它目前不接受答案。












我们不允许在 Stack Overflow 上提出有关专业服务器或网络相关基础设施管理的问题。您可以编辑问题，使其成为 on-topic对于堆栈溢出。


12 个月前关闭。







Improve this question




我是一名新手 k8s 工程师。
到目前为止，我一直通过每年手动更新一次来管理 k8s 证书。
但是，我开始对如何设置以下证书感到好奇超过 1 年。

[root@master ~]# kubeadm alpha certs check-expiration

CERTIFICATE                EXPIRES                  RESIDUAL TIME   EXTERNALLY MANAGED
admin.conf                 May 21, 2022 01:29 UTC   311d            no      
apiserver                  May 21, 2022 01:29 UTC   311d            no      
apiserver-etcd-client      May 21, 2022 01:29 UTC   311d            no      
apiserver-kubelet-client   May 21, 2022 01:29 UTC   311d            no      
controller-manager.conf    May 21, 2022 01:29 UTC   311d            no      
etcd-healthcheck-client    May 21, 2022 01:29 UTC   311d            no      
etcd-peer                  May 21, 2022 01:29 UTC   311d            no      
etcd-server                May 21, 2022 01:29 UTC   311d            no      
front-proxy-client         May 21, 2022 01:29 UTC   311d            no      
scheduler.conf             May 21, 2022 01:29 UTC   311d            no      

这些证书可以延长一年以上吗？ (将近 10 年..？)
k8s版本是1.16
我可以使用私有(private)证书。走哪条路都没关系。
(因为我英文不好，所以搜索有限制。)
请告诉我如何每 10 年更新一次 K8s 证书(api..)!

Answer 1

不建议持有证书超过一年。 Kubernetes 提供了每年创建和更新证书的便捷方式。
Kubernetes Certificates
由于您需要它来满足一些特殊要求:

检查证书到期

备份现有的 Kubernetes 证书。备份所有证书
pki 目录到安全和受控访问的地方。

备份现有的和必要的配置文件

为 kube-controller-manager 添加 --cluster-signing-duration 标志。 kubernetes doc for signing duration

编辑/etc/kubernetes/manifests/kube-controller-manager.yaml

 apiVersion: v1
 kind: Pod
 metadata:
  ...
   name: kube-controller-manager
   namespace: kube-system
 spec:
   containers:
   - command:
     - kube-controller-manager
     ...
     - --experimental-cluster-signing-duration=87600h
     ...
 ...

87600h ~ 10 年

更新所有证书 kubeadm alpha 证书更新所有 --config
/etc/kubernetes/kubeadm-config.yaml

遵循 CSR 请求和批准方法。

重启必要的组件，例如 etcd、kube-apiserver、kube-scheduler、controller、kubelet

检查新证书到期

在集群运行时在任何产品环境上执行之前，请在测试实验室场景中遵循这一点