@[TOC](K8S證書過期相關問題解決)
在使用Kubernetes 集群時有個大坑，一些證書的有效期是一年，官方考慮到安全性希望開發者在一年內，能及時更新Kubernetes的版本。更新之后有效期會再次刷新。
Kubernetes版本 1.14.2
Ubuntu版本 16.04
1. 原因證書過期問題
```bash
certificate has expired or is not yet valid.
```
2.原因應該是 /etc/kubernetes/admin.conf 也就是 $HOME/.kube/config 過期的原因。在終端操作命令使用的認證證書，根據/etc/kubernetes/pki/ca.crt生成的。所以這個也需要更新.
```bash
kubectl get pods
`You must be logged in to the server (Unauthorized)`
```
### 1、各個證書過期時間
```bash
/etc/kubernetes/pki/apiserver.crt #1年有效期
/etc/kubernetes/pki/front-proxy-ca.crt #10年有效期
/etc/kubernetes/pki/ca.crt #10年有效期
/etc/kubernetes/pki/apiserver-etcd-client.crt #1年有效期
/etc/kubernetes/pki/front-proxy-client.crt #1年有效期
/etc/kubernetes/pki/etcd/server.crt #1年有效期
/etc/kubernetes/pki/etcd/ca.crt #10年有效期
/etc/kubernetes/pki/etcd/peer.crt #1年有效期
/etc/kubernetes/pki/etcd/healthcheck-client.crt #1年有效期
/etc/kubernetes/pki/apiserver-kubelet-client.crt #1年有效期
```
### 2、獲取集群的配置文件
1. 可以使用當時 kubeadm init --config=kubeadm-config.yaml 時的配置文件。
2. 使用命令獲取
```bash
kubeadm config view > /tmp/kubeadm-config.yaml
```
### 3、備份
1. 備份原有證書
```bash
cp -rp /etc/kubernetes /etc/kubernetes.bak
```
2. 備份etcd數據目錄
```bash
cp -r /var/lib/etcd /var/lib/etcd.bak
```
3. 備份配置信息
```bash
mkdir /etc/kubernetes/conf-backup
mv /etc/kubernetes/admin.conf kubelet.conf scheduler.conf controller-manager.conf conf-backup/
```
### 4、更新證書
```bash
kubeadm alpha certs renew all --config=/tmp/kubeadm-config.yaml
```
### 5、更新配置文件
admin.conf 是給kubectl操作時用的,根據car.crt生成 所以需要更新
```bash
kubeadm init phase kubeconfig all --config /tmp/kubeadm-config.yaml
```
### 6、在三台Master上執行重啟kube-apiserver,kube-controller,kube-scheduler,etcd這4個容器，使其生效
```bash
docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart
# 重啟kubelet
systemctl restart kubelet
```
### 7、更換kubectl 操作的配置信息
```bash
rm -rf $HOME/.kube
mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config
```
### 8、查看各個證書過期時間
```bash
#查看pod
kubectl get pods
# 查看各證書過期時間
for item in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`;do openssl x509 -in $item -text -noout| grep Not;echo ======================$item===============;done
```
[1]: https://www.cnblogs.com/uglyliu/p/12361546.html