一、问题背景
在咱们使用 Kubernetes 集群的时候，证书可是个很重要的东西。它就像是一把钥匙，能保证集群里各个组件之间安全地通信。不过呢，证书是有有效期的，一旦过期，就会引发各种问题，比如组件之间无法正常通信，集群可能就没办法稳定运行了。就好比你家门的钥匙过期了，你就进不去家门一样。
二、证书过期可能引发的问题
1. 组件通信故障
Kubernetes 集群里有好多组件，像 API Server、Controller Manager、Scheduler 这些，它们之间得靠证书来建立安全的连接。要是证书过期了，这些组件之间就没办法好好通信了。比如说，API Server 没办法把指令准确地传达给 Controller Manager，那 Controller Manager 就没办法正常工作，整个集群的管理就会乱套。
2. 节点连接问题
集群里的节点和控制平面之间也是通过证书来连接的。证书过期后，节点可能就没办法和控制平面建立连接，这样节点就会和集群失去联系，不能正常参与集群的工作。就好像一群小伙伴一起做游戏，有个小伙伴突然和大家断了联系，游戏就没办法顺利进行了。
3. 服务访问异常
我们部署在集群里的应用程序，访问集群内的服务时也依赖证书。证书过期后，应用程序可能就没办法正常访问服务，导致业务出现故障。比如一个电商网站，要是证书过期了，用户就没办法正常下单、查看商品信息等。
三、预防证书过期的方法
1. 定期检查证书有效期
我们可以写个脚本来定期检查证书的有效期。下面是一个用 Shell 脚本实现的示例：
# 技术栈：Shell
#!/bin/bash
# 定义证书文件路径
CERT_FILE="/etc/kubernetes/pki/apiserver.crt"
# 获取证书的有效期
EXPIRY_DATE=$(openssl x509 -noout -dates -in $CERT_FILE | grep notAfter | cut -d= -f2)
# 将有效期转换为时间戳
EXPIRY_TIMESTAMP=$(date -d "$EXPIRY_DATE" +%s)
# 获取当前时间戳
CURRENT_TIMESTAMP=$(date +%s)
# 计算剩余天数
DAYS_LEFT=$(( (EXPIRY_TIMESTAMP - CURRENT_TIMESTAMP) / 86400 ))
# 输出剩余天数
echo "证书还剩 $DAYS_LEFT 天过期"
这个脚本的作用是读取证书文件，获取证书的有效期，然后计算出证书还剩多少天过期。我们可以把这个脚本放到定时任务里，定期执行，这样就能及时发现证书快过期的情况。
2. 设置合理的证书有效期
在创建证书的时候，我们可以根据实际情况设置合理的有效期。一般来说，有效期设置得长一些可以减少证书过期的频率，但也不能设置得太长，不然会有安全风险。比如，我们可以把证书的有效期设置为一年。
3. 自动化证书更新
可以使用一些工具来实现证书的自动化更新。比如 Cert - Manager，它是一个 Kubernetes 原生的证书管理控制器，可以自动为我们的应用程序和服务获取和更新证书。下面是一个使用 Cert - Manager 的示例：
# 技术栈：Kubernetes YAML
apiVersion: cert-manager.io/v1
kind: Issuer
metadata:
name: letsencrypt - staging
spec:
acme:
# ACME 服务器的 URL
server: https://acme - staging - v02.api.letsencrypt.org/directory
# 注册的邮箱地址
email: your - email@example.com
privateKeySecretRef:
# 存储 ACME 账户私钥的 Secret 名称
name: letsencrypt - staging
solvers:
- http01:
ingress:
class: nginx
这个 YAML 文件定义了一个 Issuer，它会和 Let's Encrypt 的测试服务器进行交互，为我们的应用程序获取证书。Cert - Manager 会定期检查证书的有效期，在证书快过期的时候自动更新证书。
四、证书过期后的解决方案
1. 手动更新证书
如果证书已经过期了，我们可以手动更新证书。下面是更新 API Server 证书的步骤： 首先，备份当前的证书文件：
# 技术栈：Shell
cp /etc/kubernetes/pki/apiserver.crt /etc/kubernetes/pki/apiserver.crt.backup
cp /etc/kubernetes/pki/apiserver.key /etc/kubernetes/pki/apiserver.key.backup
然后，使用 kubeadm 重新生成证书：
# 技术栈：Shell
kubeadm init phase certs apiserver
最后，重启 API Server：
# 技术栈：Shell
systemctl restart kube - apiserver
2. 使用自动化工具更新
如果使用了 Cert - Manager 这样的自动化工具，它会在证书过期时自动更新证书。我们只需要确保 Cert - Manager 正常运行就可以了。
五、应用场景
1. 企业生产环境
在企业的生产环境中，Kubernetes 集群承担着重要的业务任务。证书过期可能会导致业务中断，影响企业的正常运营。通过预防和解决证书过期问题，可以保证集群的稳定性和可靠性，确保业务的正常运行。
2. 开发测试环境
在开发和测试环境中，虽然对稳定性的要求没有生产环境那么高，但证书过期也会影响开发和测试工作的进行。及时预防和解决证书过期问题，可以提高开发和测试的效率。
六、技术优缺点
1. 手动更新证书
优点：灵活性高，可以根据具体情况进行操作。比如在一些特殊场景下，手动更新可以更好地控制更新过程。 缺点：操作复杂，容易出错，而且效率低。如果集群规模较大，手动更新证书会花费大量的时间和精力。
2. 自动化工具更新
优点：操作简单，效率高，可以自动处理证书的更新，减少人工干预。比如 Cert - Manager 可以自动监控证书的有效期，在证书快过期时自动更新。 缺点：需要额外的配置和维护，对技术人员的要求较高。而且如果自动化工具出现问题，可能会影响证书的更新。
七、注意事项
1. 备份证书
在更新证书之前，一定要备份当前的证书文件。这样在更新过程中出现问题时，可以恢复到原来的证书，保证集群的正常运行。
2. 测试更新效果
在更新证书后，要进行充分的测试，确保集群的各个组件和服务都能正常工作。可以通过访问应用程序、查看日志等方式进行测试。
3. 及时更新自动化工具
如果使用了自动化工具来更新证书，要及时更新工具的版本，以保证工具的可靠性和安全性。
八、文章总结
Kubernetes 集群证书过期是一个比较常见的问题，会给集群的正常运行带来很大的影响。我们可以通过定期检查证书有效期、设置合理的有效期、使用自动化工具等方法来预防证书过期。如果证书已经过期，可以手动更新证书或者使用自动化工具来更新。在处理证书过期问题时，要注意备份证书、测试更新效果和及时更新自动化工具。通过这些措施，我们可以保证 Kubernetes 集群的稳定性和可靠性。
评论