1. 为什么需要调整K8s证书有效期Kubernetes集群默认的证书有效期设计为1年这个设定源于安全最佳实践。但实际生产环境中这个期限往往会给运维带来诸多不便。想象一下一个包含50个节点的生产集群每年都要经历一次证书轮换不仅操作繁琐还存在服务中断风险。我管理的几个生产集群就曾因此吃过亏。去年证书过期时恰逢业务高峰期导致API Server短暂不可用。自那以后我就把集群证书有效期统一调整为10年——当然这需要配套严格的内网安全措施。2. 证书体系深度解析2.1 K8s核心证书类型Kubernetes主要使用以下几类证书CA证书集群信任根默认10年API Server证书控制面入口默认1年kubelet客户端证书节点认证默认1年front-proxy证书聚合层通信默认1年2.2 证书生成机制通过kubeadm源码分析证书有效期硬编码在kubernetes/cmd/kubeadm/app/constants/constants.go文件中。例如const ( CertificateValidity time.Hour * 24 * 365 CACertificateValidity time.Hour * 24 * 365 * 10 )3. 修改有效期的三种方案3.1 方案对比方案适用场景复杂度风险修改源码编译长期固定需求高中替换kubeadm二进制临时调整中低证书手动签发已存在集群低高3.2 推荐方案实施步骤1准备定制化kubeadmgit clone https://github.com/kubernetes/kubernetes cd kubernetes sed -i s/CertificateValidity time.Hour \* 24 \* 365/CertificateValidity time.Hour * 24 * 365 * 10/ cmd/kubeadm/app/constants/constants.go make all WHATcmd/kubeadm步骤2集群初始化./_output/bin/kubeadm init \ --cert-dir /etc/kubernetes/pki \ --upload-certs验证证书有效期openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -dates4. 已存在集群的证书更新4.1 证书轮换流程备份现有证书cp -r /etc/kubernetes/pki /backup/k8s-certs-$(date %F)生成新证书kubeadm alpha certs renew all --configkubeadm-config.yaml重启控制面组件docker ps | grep kube-apiserver | awk {print $1} | xargs docker restart4.2 关键注意事项时间同步所有节点必须保持NTP同步备份还原保留旧证书至少7天组件顺序先更新证书再滚动重启组件5. 安全加固建议虽然延长了证书有效期但必须配套以下措施网络隔离控制面节点不暴露公网IP使用专用VLAN通信证书监控# Prometheus监控规则示例 - alert: CertificateExpiringSoon expr: probe_ssl_earliest_cert_expiry - time() 86400 * 30 for: 5m应急方案# 紧急证书轮换脚本 #!/bin/bash kubeadm alpha certs renew all --use-api systemctl restart kubelet6. 常见故障排查问题1证书更新后API Server无法启动检查项journalctl -xu kube-apiserver | grep -i cert openssl verify -CAfile /etc/kubernetes/pki/ca.crt /etc/kubernetes/pki/apiserver.crt问题2节点无法加入集群解决方案kubeadm token create --print-join-command # 在新节点执行时添加--discovery-token-unsafe-skip-ca-verification7. 进阶配置技巧对于大型集群建议采用分层证书体系创建中间CAopenssl req -new -newkey rsa:2048 -nodes \ -out intermediate.csr -keyout intermediate.key签发证书cfssl gencert -caintermediate.pem -ca-keyintermediate-key.pem \ -configca-config.json -profilekubernetes \ apiserver-csr.json | cfssljson -bare apiserver配置示例{ signing: { profiles: { kubernetes: { expiry: 87600h, usages: [signing, key encipherment] } } } }在实际操作中我发现通过这种方式管理的证书体系既满足了长期稳定需求又便于分权管理。比如可以让网络团队管理入口证书而集群管理员专注控制面证书。