k8s集群证书过期--手动更新证书

一、文档

证书过期和管理文档

二、处理方法

报错如下：

Unable to connect to the server: tls: failed to verify certificate: x509:certificate has expired or is not yet valid: ...

手动更新证书步骤：

1. 执行命令

   如果你运行的集群具有多副本的控制平面，则需要在所有控制平面节点上执行这条命令

   kubeadm certs renew all

2. 重启控制面 Pod

执行完此命令之后你需要重启控制面 Pod。因为动态证书重载目前还不被所有组件和证书支持，所有这项操作是必须的。 静态 Pod 是被本地 kubelet 而不是 API 服务器管理，所以 kubectl 不能用来删除或重启他们。

要重启静态 Pod 你可以临时将清单文件从 /etc/kubernetes/manifests/ 移除并等待 20 秒 （参考 KubeletConfiguration 结构中的 fileCheckFrequency 值）。如果 Pod 不在清单目录里，kubelet 将会终止它。 在另一个 fileCheckFrequency 周期之后你可以将文件移回去，kubelet 可以完成 Pod 的重建，而组件的证书更新操作也得以完成。