使用kubeadm部署的集群证书过期后处理
之前使用 kubeadm 部署的集群，突然有一天执行 kubectl get pod 提示：
1 | Unable to connect to the server: x509: certificate has expired or is not yet valid: current time 2024-03-04T14:26:31+08:00 is after 2024-02-27T08:36:50Z |
意思是证书有效期到 2024-02-27T08:36:50Z， 已经超过了证书有效期了。
查看证书有效期
1 | [root@ALSHBSITL00061 kubernetes]# kubeadm certs check-expiration |
执行续期操作
1 | [root@ALSHBSITL00061 kubernetes]# kubeadm certs renew all |
更新 kubectl 配置
如果当时安装的时候是通过 cp /etc/kubernetes/admin.conf ~/.kube/config 复制的配置，需要再更新一遍，管理员也可以指定使用 /etc/kubernetes/admin.conf 作为 kubeconfig，就不用每次更新了。
重启服务
需要重启 kube-apiserver, kube-controller-manager, kube-scheduler 和 etcd， kubeadm 安装的 kubelet 会自动更新证书，所以不用重启。
1 | crictl pods --namespace kube-system --name 'kube-scheduler-*|kube-controller-manager-*|kube-apiserver-*|etcd-*' -q | xargs crictl rmp -f |
1 | docker ps |
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 杂烩饭！
相关推荐
2024-10-31
单节点Kubernetes更换ip地址
如果是个多节点的集群，更换一台 master 节点的 ip 有个更简单的办法，那就是先把这台机器下线，然后再扩容一台新的 master，安全无副作用，如果是单节点更换 ip 地址（如果旧 ip 不用回收，那么可以直接在网卡上再绑定一个 ip 地址，不用对 k8s 进行修改） 和 kubeadm之单节点master升级高可用master 有点类似 首先更换操作系统 ip 地址略 准备123456789# 备份配置文件cp -r /etc/kubernetes{,-bak}# 查看证书绑定的ip或域名for i in $(find /etc/kubernetes/pki -type f -name "*.crt");do echo ${i} && openssl x509 -in ${i} -text | grep 'DNS:';done# 删除需要重新生成的证书rm -rf...
2024-10-31
在Kubernetes中部署nacos 2.1.0
本次在 Kubernetes 上部署 nacos 2.1.0 版本， 部署 3 节点集群，不做数据持久化（nacos 的配置管理是存储 MySQL 数据库的，服务发现是需要本地存储的）新版本 nacos 部署参考： 在Kubernetes中部署nacos 2.3.2 MySQL 数据库准备创建数据库，配置好账号权限，执行如下 SQL...
2024-10-31
在Kubernetes中部署nacos 2.3.2
其他版本参考文档 在Kubernetes中部署nacos 2.1.0 nacos 官方文档写的太敷衍了，很多东西都需要自己去找，比如容器运行的时候，必须的环境变量都没有写全，遇到的一些坑整理了出来。 新版的变化鉴权逻辑优化官方说明：https://nacos.io/zh-cn/docs/v2/guide/user/auth.html 2.2.2 版本之前的 Nacos 默认控制台，无论服务端是否开启鉴权，都会存在一个登录页；这导致很多用户被误导认为 Nacos 默认是存在鉴权的。在社区安全工程师的建议下，Nacos 自 2.2.2 版本开始，在未开启鉴权时，默认控制台将不需要登录即可访问，同时在控制台中给予提示，提醒用户当前集群未开启鉴权。 部分环境变量默认值删除nacos 新版（2.2.1 之后删除了默认值） 可以查看 /home/nacos/conf/application.properties 这个文件，如果有环境变量名不确认也可以到这个文件里查询： 比如： server.port=${NACOS_APPLICATION_PORT:8848}...
2024-10-31
获取Kubernetes的token
获取 admin 的 token如果有这个 secret, 可以直接查看 token 1kubectl -n kube-system get secret admin-token-nwphb -o jsonpath={.data.token} | base64 -d 新版 k8s 命令为选择一个现有的 serviceaccount 1kubectl get serviceaccount 使用这个 serviceaccount 创建一个 token(并设置有效期) 1kubectl create token default --duration 10m 新建一个用户获取 token如果考虑到权限没有合适的,或者没有相关的 secret,可以通过创建一个新的用户来获取 token 12345kubectl create serviceaccount admin-sakubectl create clusterrolebinding admin-sa-binding --clusterrole=cluster-admin...
2024-10-31
kubeadm 部署的集群 常见问题汇总
扩容节点扩容 Worker 节点 kubeadm init 后会输出在终端上, 有效期 2 小时, 超时后可以重新生成 生成添加命令: 1kubeadm token create --print-join-command 扩容 Master 节点生成加入命令12345678# 生成证书, 记录 certificate keykubeadm init phase upload-certs --upload-certs# 获取加入命令kubeadm token create --print-join-command# 将上面的输出结果拼接，这个就是加入 master 的命令，在新的 master 上执行echo "$(kubeadm token create --print-join-command) --control-plane --certificate-key $(kubeadm init phase upload-certs --upload-certs | tail -1)" 修改负载均衡配置扩容完 master 节点不要忘了将新的节点增加到...
2024-10-31
Kubeadm之单节点master升级高可用master
单节点升级 master 总体来说就是两步， 先修改 apiserver 地址为负载均衡地址，然后添加新的 master 节点。 搭建集群的时候我们注意一下就可以减少后期维护的烦恼，比如： 使用 hostname 而不是 ip 来作为 kube-apiserver 地址 单节点也把负载均衡安排上 假设已经有一个没有负载均衡的单节点 master，现在想将它切换为高可用集群，记录以下步骤： 部署负载均衡参考 Kubernetes之master高可用方案 更新证书 因为我们部署了负载均衡，所以需要通过负载均衡的地址来访问 apiserver，因为证书是针对域名或者 ip 做的签名，如果 ip 变了证书就失效了，这也是为什么建议使用 hostname 来代替 ip 如果你是用 kubeadm init 来创建的集群，那么你需要导出一个 kubeadm 配置 1kubectl -n kube-system get configmap kubeadm-config -o...
评论
公告
此博客为我记录运维工作总结所用，供网友阅读参考，如有侵权，请通知我，我会核实后进行处理。
欢迎加入技术交流群：
