/var/lib/kubelet/pki/kubelet.crt หมดอายุ จะต่ออายุได้อย่างไร

เดอะ คูเบอร์เนเตส คลัสเตอร์ใน 1.21.2 เดอะ คูเบเลต ยังอยู่ใน 1.21.2

คูเบเลต --version
Kubernetes v1.21.2

รุ่น kubeadm
รุ่น kubeadm: &version.Info {หลัก:"1", รอง:"21", GitVersion:"v1.21.2", GitCommit:"092fbfbf53427de67cac1e9fa54aaa09a28371d7", GitTreeState:"สะอาด", BuildDate:"2021-06-16T12:57: 56Z", GoVersion:"go1.16.5", คอมไพเลอร์:"gc", แพลตฟอร์ม:"linux/amd64"}

เมื่อฉันพยายามที่จะ "kl รับไม่" ฉันได้รับข้อผิดพลาดด้านล่าง

kl รับไม่
ข้อผิดพลาด: คุณต้องลงชื่อเข้าใช้เซิร์ฟเวอร์ (ไม่ได้รับอนุญาต)
**หมายเหตุ: kl เป็นนามแฝงของ kubectl**
ฉันตรวจสอบ /var/lib/kubelet/pki/kubelet.crt แล้ว และหมดอายุแล้ว

ใน kubelet.crt ผู้ออกอยู่ด้านล่าง

เรื่อง: CN=aparapu@1591592441
        เรื่องข้อมูลคีย์สาธารณะ:
            อัลกอริทึมคีย์สาธารณะ: rsaEncryption

ต้องการความช่วยเหลือในการต่ออายุ kubelet.crt นี้

ฉันพบปัญหานี้ในฟอรัมอื่นๆ มากมาย และในที่สุดฉันก็พบวิธีแก้ปัญหาที่ได้ผลจากฉัน

ประการแรก ปัญหาของฉันเกิดจากใบรับรองเท่านั้น /var/lib/kubelet/pki/kubelet.crtซึ่งฉันเห็นว่าหมดอายุด้วย:

เสียงสะท้อน -n | openssl s_client -เชื่อมต่อ localhost:10250 2>&1 | sed -ne '/-เริ่มต้นใบรับรอง-/,/-สิ้นสุดใบรับรอง-/p' | opensl x509 -text -noout | grep -A 2 ความถูกต้อง

หรือ

sudo openssl x509 -in /var/lib/kubelet/pki/kubelet.crt -ข้อความ -noout | grep -A 2 ความถูกต้อง

ขั้นแรก คุณต้องเปิดใช้งาน --rotate-certificates=จริง และ --rotate-server-certificates=true ใน kubelet ของคุณ ในกรณีของฉัน ฉันติดตั้งคลัสเตอร์โดยใช้ คูบีดเพื่อให้ฉันสามารถแก้ไข /etc/systemd/system/kubelet.service.d/10-kubeadm.confและเพิ่มสิ่งต่อไปนี้ใน KUBELET_EXTRA_ARGS:

สภาพแวดล้อม = "KUBELET_EXTRA_ARGS=--rotate-certificates=true --rotate-server-certificates=true --tls-cipher-suites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"

โดยทั่วไปเป็นเพียงการเพิ่มการตั้งค่าสถานะเหล่านี้ในการเรียกใช้ kubelet /usr/bin/kubelet --rotate-certificates=true --rotate-server-certificates=true.

และโหลดซ้ำและรีสตาร์ท kubelet ด้วย:

sudo systemctl daemon โหลดซ้ำ
sudo service kubelet รีสตาร์ท

หลังจากรีสตาร์ทฉันเห็นบางอย่างเช่น 14114 log.go:172] http: ข้อผิดพลาด TLS handshake จาก 20.0.0.13:57738: ไม่มีใบรับรองการให้บริการสำหรับ kubeletซึ่งระบุว่าใบรับรองจำเป็นต้องเพิ่มและอนุมัติ

ประการที่สอง เราต้องอนุมัติ ความรับผิดชอบต่อสังคม จาก kubernetes (นี่คือสิ่งที่ฉันไม่เคยดูมาก่อน...):

kubectl รับ csr

จะเห็นใบรับรองรอการอนุมัติ ดังนั้นเพียงแค่อนุมัติ:

ใบรับรอง kubectl อนุมัติ csr-dlcf6

และตอนนี้คลัสเตอร์ของคุณควรมีการต่ออายุใบรับรองเซิร์ฟเวอร์ kubelet หากต้องการยืนยันอีกครั้ง:

เสียงสะท้อน -n | openssl s_client -เชื่อมต่อ localhost:10250 2>&1 | sed -ne '/-เริ่มต้นใบรับรอง-/,/-สิ้นสุดใบรับรอง-/p' | opensl x509 -text -noout | grep -A 2 ความถูกต้อง

หมายเหตุบางส่วน:

• เราได้เปิดใช้งานการหมุนเวียนสำหรับทั้งไคลเอนต์และเซิร์ฟเวอร์ การหมุนเวียนไคลเอนต์ยังเป็นส่วนหนึ่งของสคริปต์การต่ออายุใบรับรองอัตโนมัติ (https://kubernetes.io/docs/tasks/administer-cluster/kubeadm/kubeadm-certs/)
• หลังจากที่เราเปิดใช้งานการหมุนแล้ว /var/lib/kubelet/pki/kubelet.crt ไม่ได้ใช้อีกต่อไป แทนลิงก์สัญลักษณ์ /var/lib/kubelet/pki/kubelet-server-current.pem ถูกใช้และชี้ไปที่ใบรับรองที่หมุนเวียนล่าสุด

อ้างอิง:

• https://kubernetes.io/docs/tasks/administer-cluster/kubeadm/kubeadm-certs/
• https://devopstales.github.io/kubernetes/k8s-cert/
• https://kubernetes.io/docs/tasks/tls/certificate-rotation/
• https://kubernetes.io/docs/tasks/administer-cluster/kubeadm/kubeadm-certs/#kubelet-serving-certs