K8S之rke2证书过期，如何处理以及遇到的问题

永不停歇的蜗牛2025-12-18 11:06

近期在登录测试环境时，发现无法使用k8s指令来查看pod、node等信息，后来发现是rke2证书过期。

目前rke2-server证书重启（指令：sudo systemctl restart rke2-server）时候，如果发现证书过期或者距离过期不足90天，则会自动生成新的证书，然后分发同步到其他组件。

如果使用的是高可用集群，比如3台节点都是master的方式，需要每台节点执行一次sudo systemctl restart rke2-server，保险起见再将新生成的/etc/rancher/rke2/rke2.yaml文件，copy到当前用户目录（~/.kube/config）和根目录/root/.kube/config，需要使用到sudo权限。

如果证书过期时间大于90天，如何强制重新生成证书呢？

手动轮换：sudo rke2 certificate rotate，rke2如果没有配置环境变量，需要写绝对路径。

具体操作步骤如下：

bash

复制代码

# 1. 停止服务
sudo systemctl stop rke2-server

# 2. 轮换证书（使用完整路径命令）
sudo /var/lib/rancher/rke2/bin/rke2 certificate rotate

# 3. 重启服务
sudo systemctl start rke2-server

# 4. 检查服务状态和新证书
sudo systemctl status rke2-server
sudo /var/lib/rancher/rke2/bin/kubectl get nodes