k8s组件证书过期：Unable to connect to the server: x509: certificate has expired or is not yet valid

左手的ㄟ右手 2024-02-17 11:34 34阅读 0赞

今天遇到一个k8s证书过期问题，记录下解决方法。

1、报错

执行kubectl执行，报错：

Unable to connect to the server: x509: certificate has expired or is not yet valid

2、原因

K8S 各个组件需要与 api-server 进行通信，通信使用的证书都存放在 /etc/kubernetes/pki 路径下，由 kubeadm 生成的客户端证书在 1 年后到期，因此需要定时更新证书，否则证书到期会导致整个集群不可用。

【[官方文档][Link 1]】

![在这里插入图片描述][09afb7be5e754967a6a958ee7a14cdfc.png]  
3、解决

*  查看证书过期时间

kubeadm alpha certs check-expiration
    # RESIDUAL TIME值为invalid即已过期
    # 该命令显示 /etc/kubernetes/pki 文件夹中的客户端证书以及 kubeadm（admin.conf、controller-manager.conf 和 scheduler.conf） 使用的 kubeconfig 文件中嵌入的客户端证书的到期时间/剩余时间。

![在这里插入图片描述][6625aee56d454d059dd1a65d7655f979.png]

*  手动更新所有证书

kubeadm alpha certs renew all
    
    # 针对某个组件单独更新
    # kubeadm alpha certs renew apiserver

*  使用更新后的 admin.conf 替换 /root/.kube/config 文件

# y确认后回车
    cp -i /etc/kubernetes/admin.conf $HOME/.kube/config

*  再次查看证书有效期，有效期变为一年

kubeadm alpha certs check-expiration

![在这里插入图片描述][923cb178c01e427a843b385a71a6f65f.png]

*  重启apiserver、controller-manager、scheduler、etcd

systemctl restart docker
    systemctl restart kubelet

*  也可精确重启

docker ps |grep -E 'k8s_kube-apiserver|k8s_kube-controller-manager|k8s_kube-scheduler|k8s_etcd_etcd' | awk -F ' ' '{print $1}' |xargs docker restart

*  记得重启，否则调度也会出问题，自己服务的pod重启后数量一直会为0，kube组件相关pod日志报错：

![在这里插入图片描述][0e3c636d519c45fbb70dfe1af6409639.png]

[Link 1]: https://kubernetes.io/zh-cn/docs/tasks/administer-cluster/kubeadm/kubeadm-certs/
[09afb7be5e754967a6a958ee7a14cdfc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/06/6359ba613a734302a9e6aff10071519c.png
[6625aee56d454d059dd1a65d7655f979.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/06/8fcf4a98770043b693bdd4ba17295af9.png
[923cb178c01e427a843b385a71a6f65f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/06/ab879af8b5534f94be32032760fb5cd6.png
[0e3c636d519c45fbb70dfe1af6409639.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/06/507de98f88654583b6be9dca201af3ca.png