如何安全完整地更新k8s证书？

Question

k8s证书更新方法：

k8s集群中的部分证书目前已经过期，提示：

无法连接到服务器：x509：证书已过期或尚未有效。 看看网上的集群master。

ca.crt和front-proxy-ca.crt未过期，但front-proxy-client.crt 、 apiserver-kubelet-client.crt和apiserver.crt已过期。

所以手动传递现有的ca.key在apiserver.crt上生成apiserver.crt 参考这里。 但是，出现了新的错误，提示：

服务器已要求客户端提供凭据

k8s集群的证书更新方式是什么？

谢谢！

Answer 1

最新的 kubeadm 应该支持这个。

预期命令：

renew all
renew apiserver
renew apiserver-kubelet-client
renew apiserver-etcd-client
renew front-proxy-client
renew etcd-server
renew etcd-peer
renew etcd-healthcheck-client

您通常有权审查上述所有的证书，也可以更新他们使用手动的OpenSSL或cfssl并使用该CA /etc/kubernetes/pki/ca.pem