《Kubernetes证书篇：kubernetes1.14.3证书修改时间限制》

墨蓝 2023-01-14 10:55 150阅读 0赞

### 文章目录 ###

*  一、背景
 *  二、查看证书有效期
 *  三、go环境部署
 *  四、下载K8S源码
 *  五、修改Kubeadm源码包更新证书策略
 *  六、查看证书有效期
 *  七、其它Master节点
 *  总结：整理不易，如果对你有帮助，可否点赞关注一下？

--------------------

# 一、背景 #

**Kubernetes 默认的证书有效期只有1年，因此需要每年手动更新一次节点上面的证书，特别麻烦而且更新过程中可能会出现问题，因此我们要对 Kubernetes 的 SSL 证书有效期进行修改，这里将证书的时间限制修改为100年。**

--------------------

# 二、查看证书有效期 #

for i in $(ls /etc/kubernetes/pki/*.crt); do echo "===== $i ====="; openssl x509 -in $i -text -noout | grep -A 3 'Validity'; done

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70]

--------------------

# 三、go环境部署 #

# 1、安装go语言
    wget https://studygolang.com/dl/golang/go1.14.6.linux-amd64.tar.gz
    tar axf go1.14.6.linux-amd64.tar.gz -C /usr/local/
    
    # 2、配置环境变量
    vi /etc/profile
    export PATH=$PATH:/usr/local/go/bin
    
    # 3、环境变量生效命令
    source /etc/profile

--------------------

# 四、下载K8S源码 #

mkdir -p /data/k8s-src && cd /data/k8s-src
    wget https://github.com/kubernetes/kubernetes/archive/refs/tags/v1.14.3.zip --no-check-certificate
    unzip v1.14.3.zip

**如下图所示：**  
![在这里插入图片描述][20210420173632605.png]

--------------------

# 五、修改Kubeadm源码包更新证书策略 #

# 1、添加内容
    cd kubernetes-1.14.3
    vi cmd/kubeadm/app/util/pkiutil/pki_helpers.go
    const effectyear = time.Hour * 24 * 365 * 100
    NotAfter:     time.Now().Add(effectyear).UTC(),
    # 注意：vim staging/src/k8s.io/client-go/util/cert/cert.go #kubeadm1.14版本之前
    
    # 2、注释内容（如下图所示）
    // NotAfter:     time.Now().Add(kubeadmconstants.CertificateValidity).UTC(),
    
    # 3、编译kubeadm
    # 注意路径,如果编译失败，删除_output目录，重新编译
    cd kubernetes-1.14.3
    yum install rsync -y
    make WHAT=cmd/kubeadm GOFLAGS=-v
    
    # 4、原证书备份
    cd kubernetes-1.14.3
    cp -arp /etc/kubernetes /etc/kubernetes_`date +%F`
    mv /usr/bin/kubeadm /usr/bin/kubeadm_`date +%F`
    cp -a _output/bin/kubeadm /usr/bin
    
    # 5、证书更新
    kubeadm config view > /root/kubeadm-config.yaml
    kubeadm alpha certs renew all --config=/root/kubeadm-config.yaml

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 1]

--------------------

# 六、查看证书有效期 #

for i in $(ls /etc/kubernetes/pki/*.crt); do echo "===== $i ====="; openssl x509 -in $i -text -noout | grep -A 3 'Validity'; done

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 2]

--------------------

# 七、其它Master节点 #

**说明：如果当前kubernetes集群是多master的话，其它master节点可按如下操作执行。**

**这里，按照三个master节点来演示操作。**

**操作步骤如下：**

# 1、备份另外两个matser节点证书文件及kubeadm工具
    cp -arp /etc/kubernetes /etc/kubernetes_`date +%F`
    mv /usr/bin/kubeadm /usr/bin/kubeadm_`date +%F`
    
    # 2、将第一个master更新好的kubeadm工具拷贝到另外两个master节点的/usr/bin目录下
    scp /usr/bin/kubeadm root@192.168.1.213:/usr/bin
    scp /usr/bin/kubeadm root@192.168.1.214:/usr/bin
    
    # 3、证书更新
    kubeadm config view > /root/kubeadm-config.yaml
    kubeadm alpha certs renew all --config=/root/kubeadm-config.yaml
    
    # 4、查看证书有效期
    kubeadm alpha certs check-expiration

--------------------

# 总结：整理不易，如果对你有帮助，可否点赞关注一下？ #

更多详细内容请参考：[企业级K8s集群运维实战][K8s]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70]: /images/20221022/6e986758b45d4dc0bb10afa75d5d34e2.png
[20210420173632605.png]: /images/20221022/b6789e88e2714cd2ad5759d9b040e3ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 1]: /images/20221022/6a78c9915300409ab1a7748987f65b9e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3ODE0MTEy_size_16_color_FFFFFF_t_70 2]: /images/20221022/46f5112072154f768b11e83c79ea2ea3.png
[K8s]: https://blog.csdn.net/m0_37814112/category_10856504.html?spm=1001.2014.3001.5482