证书轮换

检查证书过期时间

  1. # For kubeadm provisioned clusters
  2. kubeadm alpha certs check-expiration
  3. # For all clusters
  4. openssl x509 -noout -dates -in /etc/kubernetes/pki/apiserver.crt

更新过期时间

根据集群的不同,可以选择如下几种方法来更新证书过期时间(任选一种即可)。

方法1: 使用 kubeadm 升级集群自动轮换证书

  1. kubeadm upgrade apply --certificate-renewal v1.15.0

方法2: 使用 kubeadm 手动生成并替换证书

  1. # Step 1): Backup old certs and kubeconfigs
  2. mkdir /etc/kubernetes.bak
  3. cp -r /etc/kubernetes/pki/ /etc/kubernetes.bak
  4. cp /etc/kubernetes/*.conf /etc/kubernetes.bak
  5. # Step 2): Renew all certs
  6. kubeadm alpha certs renew all --config kubeadm.yaml
  7. # Step 3): Renew all kubeconfigs
  8. kubeadm alpha kubeconfig user --client-name=admin
  9. kubeadm alpha kubeconfig user --org system:masters --client-name kubernetes-admin > /etc/kubernetes/admin.conf
  10. kubeadm alpha kubeconfig user --client-name system:kube-controller-manager > /etc/kubernetes/controller-manager.conf
  11. kubeadm alpha kubeconfig user --org system:nodes --client-name system:node:$(hostname) > /etc/kubernetes/kubelet.conf
  12. kubeadm alpha kubeconfig user --client-name system:kube-scheduler > /etc/kubernetes/scheduler.conf
  13. # Another way to renew kubeconfigs
  14. # kubeadm init phase kubeconfig all --config kubeadm.yaml
  15. # Step 4): Copy certs/kubeconfigs and restart Kubernetes services

方法3: 非 kubeadm 集群

非 kubeadm 集群请参考 配置 CA 并创建 TLS 证书 重新生成证书,并重启各个 Kubernetes 服务。

kubelet 证书自动轮换

Kubelet 从 v1.8.0 开始支持证书轮换,当证书过期时,可以自动生成新的密钥,并从 Kubernetes API 申请新的证书。

证书轮换的开启方法如下:

  1. # Step 1): Config kube-controller-manager
  2. kube-controller-manager --experimental-cluster-signing-duration=87600h \
  3. --feature-gates=RotateKubeletClientCertificate=true \
  4. ...
  5. # Step 2): Config RBAC
  6. # Refer https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet-tls-bootstrapping/#approval
  7. # Step 3): Config Kubelet
  8. kubelet --feature-gates=RotateKubeletClientCertificate=true \
  9. --cert-dir=/var/lib/kubelet/pki \
  10. --rotate-certificates \
  11. --rotate-server-certificates \
  12. ...

撤销证书

Kubernetes 目前还不支持通过 Certificate Rovocation List (CRL)撤销证书。所以,目前撤销证书的唯一方法就是使用新的 CA 重新生成所有证书,然后再重启所有服务。

为了避免这个问题,推荐为客户端配置 OIDC 认证,比如可以使用 dex 项目来实现。

注:Etcd 支持 CRL 撤销证书,具体实现可以参考这里

附: 名词解释

  • CA (Certificate Authority):根证书签发机构,用于签发证书(即证明证书是合法的)。
    • CA 拥有私钥 (ca.key) 和证书 (ca.crt,包含公钥)。对于自签名 CA 来说, ca.crt 需要分发给所有客户端。
    • ca.crt 会自动挂载到 Pod 中/var/run/secrets/kubernetes.io/serviceaccount/ca.crt
  • key (Public key or Private key):即公钥或者私钥。
  • csr (Certificate Signing Request):证书签名请求,用于向权威证书颁发机构获得签名证书的申请,申请中通常包含公钥(私钥自己保存)。
  • crt/cer (Certificate):已签发的证书,一般是 PEM 格式(也支持 DER 格式)。

参考文档