如何安全完整地更新k8s證書？

Question

k8s證書更新方法：

k8s集群中的部分證書目前已經過期，提示：

無法連接到服務器：x509：證書已過期或尚未有效。 看看網上的集群master。

ca.crt和front-proxy-ca.crt未過期，但front-proxy-client.crt 、 apiserver-kubelet-client.crt和apiserver.crt已過期。

所以手動傳遞現有的ca.key在apiserver.crt上生成apiserver.crt 參考這里。 但是，出現了新的錯誤，提示：

服務器已要求客戶端提供憑據

k8s集群的證書更新方式是什么？

謝謝！

Answer 1

最新的 kubeadm 應該支持這個。

預期命令：

renew all
renew apiserver
renew apiserver-kubelet-client
renew apiserver-etcd-client
renew front-proxy-client
renew etcd-server
renew etcd-peer
renew etcd-healthcheck-client

您通常有權審查上述所有的證書，也可以更新他們使用手動的OpenSSL或cfssl並使用該CA /etc/kubernetes/pki/ca.pem