附025.kubeadm部署Kubernetes更新證書

来源:https://www.cnblogs.com/itzgr/archive/2020/07/24/13370185.html
-Advertisement-
Play Games

一 查看證書 1.1 查看過期時間-方式一 1 [root@master01 ~]# tree /etc/kubernetes/pki/ 2 [root@master01 ~]# for tls in `find /etc/kubernetes/pki -maxdepth 2 -name "*.cr ...


一 查看證書

1.1 查看過期時間-方式一

  1 [root@master01 ~]# tree /etc/kubernetes/pki/
  2 [root@master01 ~]# for tls in `find /etc/kubernetes/pki -maxdepth 2 -name "*.crt"`; \
  3 do echo ===============$tls===============; \
  4 openssl x509 -in $tls -text| grep Not; \
  5 done
  clipboard

1.1 查看過期時間-方式二

  1 [root@master01 ~]# tree /etc/kubernetes/pki/
clipboard 
  1 [root@master01 ~]# kubeadm alpha certs check-expiration
clipboard 提示：由上可知，根證書有效期為10年，其他所有證書有效期為1年。

二 證書類別

2.1 集群根證書

  1 [root@master01 ~]# ll /etc/kubernetes/pki/ca*
  2 -rw-r--r-- 1 root root 1.1K Jun 15 21:08 /etc/kubernetes/pki/ca.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/ca.key
  由此集群根證書簽發的證書有：
  1. kube-apiserver 組件持有的服務端證書
  1 [root@master01 ~]# ll /etc/kubernetes/pki/apiserver.*
  2 -rw-r--r-- 1 root root 1.3K Jun 15 21:08 /etc/kubernetes/pki/apiserver.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/apiserver.key
 
  1. kubelet 組件持有的客戶端證書
  1 [root@master01 ~]# ll /etc/kubernetes/pki/apiserver-kubelet-client.*
  2 -rw-r--r-- 1 root root 1.1K Jun 15 21:08 /etc/kubernetes/pki/apiserver-kubelet-client.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/apiserver-kubelet-client.key
  提示：kubelet的/var/lib/kubelet/config.yaml配置文件中一般不會明確指定服務端證書，而是只指定 ca 根證書, 讓 kubelet 根據本地主機信息自動生成服務端證書並保存到配置的cert-dir文件夾中。

2.2 匯聚層證書

  1 [root@master01 ~]# ll /etc/kubernetes/pki/front-proxy-ca.*
  2 -rw-r--r-- 1 root root 1.1K Jun 15 21:08 /etc/kubernetes/pki/front-proxy-ca.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/front-proxy-ca.key
  由此匯聚層根證書簽發的證書有： 
  1 [root@master01 ~]# ll /etc/kubernetes/pki/front-proxy-client.*
  2 -rw-r--r-- 1 root root 1.1K Jun 15 21:08 /etc/kubernetes/pki/front-proxy-client.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/front-proxy-client.key
 

2.3 etcd集群根證書

  1 [root@master01 ~]# ll /etc/kubernetes/pki/etcd/ca.*
  2 -rw-r--r-- 1 root root 1017 Jun 15 21:08 /etc/kubernetes/pki/etcd/ca.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/etcd/ca.key
  由此etcd根證書簽發的證書有：
  1. etcd server服務端證書
  1 [root@master01 ~]# ll /etc/kubernetes/pki/etcd/server.*
  2 -rw-r--r-- 1 root root 1.2K Jun 15 21:08 /etc/kubernetes/pki/etcd/server.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/etcd/server.key
 
  1. etcd 集群中peer節點互相通信使用的客戶端證書
  1 [root@master01 ~]# ll /etc/kubernetes/pki/etcd/peer.*
  2 -rw-r--r-- 1 root root 1.2K Jun 15 21:08 /etc/kubernetes/pki/etcd/peer.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/etcd/peer.key
 
  1. pod 中定義 Liveness 探針使用的客戶端證書
  1 [root@master01 ~]# ll /etc/kubernetes/pki/etcd/healthcheck-client.*
  2 -rw-r--r-- 1 root root 1.1K Jun 15 21:08 /etc/kubernetes/pki/etcd/healthcheck-client.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/etcd/healthcheck-client.key
 
  1. 配置在 kube-apiserver 中用來與 etcd server 做雙向認證的客戶端證書
  1 [root@master01 ~]# ll /etc/kubernetes/pki/apiserver-etcd-client.*
  2 -rw-r--r-- 1 root root 1.1K Jun 15 21:08 /etc/kubernetes/pki/apiserver-etcd-client.crt
  3 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/apiserver-etcd-client.key
 

2.4 Serveice Account密鑰

  1 [root@master01 ~]# ll /etc/kubernetes/pki/sa.*
  2 -rw------- 1 root root 1.7K Jun 15 21:08 /etc/kubernetes/pki/sa.key
  3 -rw------- 1 root root  451 Jun 15 21:08 /etc/kubernetes/pki/sa.pub
    Serveice Account密鑰對僅提供給 kube-controller-manager 使用. kube-controller-manager 通過 sa.key 對 token 進行簽名, master 節點通過公鑰 sa.pub 進行簽名的驗證。 延伸：API Server身份驗證過程： API Server的authenticating環節支持多種身份校驗方式：client cert、bearer token、static password auth等，這些方式中只要有一種方式通過authenticating（Kubernetes API Server會逐個方式嘗試），那麼身份校驗就會通過。 一旦API Server發現client發起的request使用的是service account token的方式，API Server就會自動採用signed bearer token方式進行身份校驗。而request則使用攜帶的service account token參與驗證。該token是API Server在創建service account時用API server啟動參數：–service-account-key-file的值簽署(sign)生成的。如果–service-account-key-file未傳入任何值，那麼將預設使用–tls-private-key-file的值，即API Server的私鑰（server.key）。 通過authenticating後，API Server將根據Pod username所在的group：system:serviceaccounts和system:serviceaccounts:(NAMESPACE)的許可權對其進行authority 和admission control兩個環節的處理。在這兩個環節中，cluster管理員可以對service account的許可權進行細化設置。   kubeadm 創建的集群，kube-proxy、flannel、coreDNS是以 pod 形式運行的，在 pod 中，直接使用 service account 與 kube-apiserver 進行認證，此時就不需要再單獨為 kube-proxy 創建證書。

三 更新證書方法一

提示：此方式採用kubeadm預設延期1年時間的策略，若要自定義更長時間，如100年，參考開步驟四。

3.1 備份集群配置

  1 [root@master01 ~]# kubeadm config view > kubeadm-cluster.yaml
clipboard

3.2 更新證書

  1 [root@master01 ~]# kubeadm alpha certs renew --help		#查看幫助
clipboard 提示：由help可知，證書更新可針對單個證書更新。 
  1 [root@master01 ~]# kubeadm alpha certs renew all --config=kubeadm-cluster.yaml	#更新所有證書
clipboard 
  1 [root@master01 ~]# kubeadm alpha certs check-expiration		#確認驗證
clipboard 
  1 [root@master01 ~]# scp -rp kubeadm-cluster.yaml root@master02:/root/
  2 [root@master01 ~]# scp -rp kubeadm-cluster.yaml root@master03:/root/
  3 [root@master02 ~]# kubeadm alpha certs renew all --config=kubeadm-cluster.yaml
  4 [root@master03 ~]# kubeadm alpha certs renew all --config=kubeadm-cluster.yaml
  提示：更新操作需要在所有master節點執行。

3.3 啟用證書

在三台Master上執行重啟kube-apiserver、kube-controller、kube-scheduler、etcd這4個容器，以便使證書生效。   
  1 [root@master01 ~]# docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart
  2 [root@master02 ~]# docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart
  3 [root@master03 ~]# docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart
提示：啟用操作需要在所有master節點執行。

四 更新證書方法二

提示：此方式採用編譯kubeadm源碼，源碼中自定義證書時間，如100年。

4.1 備份集群配置

  1 [root@master01 ~]# kubeadm config view > kubeadm-cluster.yaml

4.2 查看當前版本

  1 [root@master01 ~]# kubectl version
clipboard

4.3 獲取源碼

  1 [root@master01 ~]# wget https://github.com/kubernetes/kubernetes/archive/v1.18.3.tar.gz
  2 [root@master01 ~]# tar -zxvf v1.18.3.tar.gz
  3
 

4.4 修改CA證書時間

  1 [root@master01 ~]# vi kubernetes-1.18.3/staging/src/k8s.io/client-go/util/cert/cert.go
  2 ……
  3  57 func NewSelfSignedCACert(cfg Config, key crypto.Signer) (*x509.Certificate, error) {
  4 ……
  5  65         NotBefore:             now.UTC(),
  6  66         NotAfter:              now.Add(duration365d * 100).UTC(),
  7 ……
  提示：ca證書最大時間限定為100年，若要將最大時限也延長，可在cert.go中修改如下maxAge值： maxAge := time.Hour * 24 * 365 * 10

4.5 修改其他證書時間

  1 [root@master01 ~]# vi kubernetes-1.18.3/cmd/kubeadm/app/constants/constants.go
  2 ……
  3  39 const (
  4  48     // CertificateValidity defines the validity for all the signed certificates generated by kubeadm
  5  49     CertificateValidity = time.Hour * 24 * 365 * 100
  6 ……
  7 [root@master01 kubernetes-1.18.3]# cat build/build-image/cross/VERSION
  8 v1.13.9-5					#使用官方corss版本
 

4.6 編譯kubeadm方式一

  1 [root@master01 kubernetes-1.18.3]# docker pull us.gcr.io/k8s-artifacts-prod/build-image/kube-cross:v1.13.9-5
  2 [root@master01 ~]# docker run --rm -v /root/kubernetes-1.18.3/:/go/src/k8s.io/kubernetes -it us.gcr.io/k8s-artifacts-prod/build-image/kube-cross:v1.13.9-5 bash
  3 root@51e96585ea73:/go# cd /go/src/k8s.io/kubernetes
  4 root@51e96585ea73:/go/src/k8s.io/kubernetes# make all WHAT=cmd/kubeadm GOFLAGS=-v
  提示：若要編譯其他命令，可參考如下： # 編譯kubelet # make all WHAT=cmd/kubelet GOFLAGS=-v # 編譯kubectl # make all WHAT=cmd/kubectl GOFLAGS=-v   #編譯完命令在 _output/bin/kubeadm 目錄下， #其中bin是使用了軟連接 #真實路徑是_output/local/bin/linux/amd64/kubeadm 
  1 root@51e96585ea73:/go/src/k8s.io/kubernetes# exit			#退出容器
  2 [root@master01 ~]# mv /usr/bin/kubeadm /usr/bin/kubeadm_backup	#備份原kubeadm
  3 [root@master01 ~]# cp kubernetes-1.18.3/_output/local/bin/linux/amd64/kubeadm /usr/bin/kubeadm
  4 [root@master01 ~]# kubeadm version		                        #查看版本
 

4.7 編譯kubeadm方式二

  1 [root@master01 ~]# yum -y install gcc make rsync jq
  2 [root@master01 ~]# wget https://dl.google.com/go/go1.13.9.linux-amd64.tar.gz
  3 [root@master01 ~]# tar zxvf go1.13.9.linux-amd64.tar.gz -C /usr/local/
  4 [root@master01 ~]# vi /etc/profile.d/goenv.sh
  5 #go setting
  6 export GOROOT=/usr/local/go
  7 export GOPATH=/usr/local/gopath
  8 export PATH=$PATH:$GOROOT/bin
  9 [root@master01 ~]# source /etc/profile
 10 [root@master01 ~]# go version
 11 go version go1.13.9 linux/amd64
 12 [root@master01 ~]# cd kubernetes-1.18.3/
 13 [root@master01 kubernetes-1.18.3]# make all WHAT=cmd/kubeadm GOFLAGS=-v
 14 [root@master01 kubernetes-1.18.3]# mv /usr/bin/kubeadm /usr/bin/kubeadm_backup	#備份原kubeadm
 15 [root@master01 kubernetes-1.18.3]# cp _output/local/bin/linux/amd64/kubeadm /usr/bin/kubeadm
 

4.8 備份集群配置

  1 [root@master01 ~]# kubeadm config view > kubeadm-cluster.yaml

4.8 更新證書

  1 [root@master01 ~]# ssh root@master02 "mv /usr/bin/kubeadm /usr/bin/kubeadm_backup"
  2 [root@master01 ~]# ssh root@master03 "mv /usr/bin/kubeadm /usr/bin/kubeadm_backup"
  3 [root@master01 ~]# scp -rp kubeadm-cluster.yaml root@master02:/root/
  4 [root@master01 ~]# scp -rp kubeadm-cluster.yaml root@master03:/root/
  5 [root@master01 ~]# kubeadm alpha certs renew all --config=kubeadm-cluster.yaml
  6 [root@master02 ~]# kubeadm alpha certs renew all --config=kubeadm-cluster.yaml
  7 [root@master03 ~]# kubeadm alpha certs renew all --config=kubeadm-cluster.yaml
  8 [root@master01 ~]# kubeadm alpha certs check-expiration		#確認驗證
  clipboard 提示：更新操作需要在所有master節點執行。 所有根證書：ca、etcd-ca、front-proxy-ca只有在init初始化的時候才會更新時間，因此建議對於kubeadm部署Kubernetes，可以在初始化之前使用編譯的方式將證書設置為更長時間，如100年。 clipboard

4.9 啟用證書

在三台Master上執行重啟kube-apiserver、kube-controller、kube-scheduler、etcd這4個容器，以便使證書生效。 參考3.3即可。
您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 控制台應用程式中托管Web API 1.0,不需要IIS。
    一直不怎麼喜歡IIS,就一個簡單的服務,要安裝IIS,然後各種配置，雖然可以用程式一鍵搭建IIS環境和啟動服務，但是也麻煩的很。 之前接觸過一段Java,覺得Tomcat挺方便，一拷貝點擊運行就Ok。後來看到官網 WebAPI2使用OWIN自托管控制台啟動， 測試一下挺正常的，項目也採用這種方式部署 ...
  • 廢品站淘金記-最低成本搭建家用伺服器
    目錄 一、目的 二、準備 2.1 硬體 2.2 軟體 2.3 網路 結果 三、過程 3.1 鏡像製作 1.選擇鏡像 2. 製作啟動盤 3.2 安裝系統 1. 換源 2. 配置SSH 3. 設置靜態IP 4. 宿主機配置 5. 查看網卡 6. 修改配置文件 6.1 修改 6.2 新增 7. 重啟網路 ...
  • 痞子衡嵌入式：16MB以上NOR Flash使用不當可能會造成軟複位後i.MXRT無法正常啟動
    痞子衡這幾天在支持一個i.MXRT1050客戶項目，客戶遇到了軟複位無法從32MB NOR Flash重新啟動的問題。這個客戶是做醫療設備的，已經基於i.MXRT做出一款成功的產品了，所以客戶其實有豐富的i.MXRT使用經驗。目前調試的項目是客戶的第二款產品，這個軟複位無法啟動問題已經困擾他們很久，... ...
  • Linux系統查看硬體信息神器，比設備管理器好用100倍！
    大家都知道，當我們的 Linux 系統電腦出現問題時，需要對其排除故障，首先需要做的是找出電腦的硬體信息。下麵介紹一個簡單易用的應用程式——HardInfo，你可以利用它來顯示你電腦的每個硬體方面的信息，它的好處就是不必去拆分電腦單獨查看每個部件。 安裝HardInfo工具 有的小伙伴會問如何去 ...
  • Ubuntu 使用 x11 轉發操作伺服器，配置修改提要
    最近，使用ubuntu 發現預設不能使用 x11轉發。配置修改如下： sudo vim /etc/ssh/sshd_config：修改服務端的sshd X11Forwarding yes sudo systemctl restart sshd.service sudo vim /etc/ssh/ss ...
  • FRAM的未來是更高的密度
    最近出現的許多記憶體問題都以3D Xpoint的形式出現在ReRAM，MRAM和PCRAM上。但是鐵電RAM（FRAM）在小型利基設備中得到了成功。去年對新興記憶體年報，吹捧的ReRAM，MRAM和PCRAM的三個關鍵新興的記憶保持在眼睛上。但它也指出，FRAM已在諸如大眾運輸卡，游戲系統和功率計之類的 ...
  • 如何優化Nginx的處理性能
    ​Nginx 是一個很強大的高性能Web和反向代理服務，它具有很多非常優越的特性，在連接高併發的情況下，Nginx是Apache服務不錯的替代品。其特點是占有記憶體少，併發能力強，事實上nginx的併發能力在同類型的網頁伺服器中表現較好，因此國內知名大廠例如：淘寶，京東，百度，新浪，網易，騰訊等等都在 ...
  • liunx安裝和部署nacos配置中心
    1、下載https://github.com/alibaba/nacos/releases nacos-server-1.3.1.tar.gz 源碼包2、上傳到liunx伺服器 /usr/local下3、 解壓tar -zxvf nacos-server-1.3.1.tar.gz4、進入解壓後的na ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類