怎么在K8s集群中解决证书过期Api-Server无法启动-linux运维-PHP中文网

kubernetes api server 证书过期会导致控制平面瘫痪，需手动更新证书链；优先用 kubeadm certs renew all 续签并重启 kubelet，若 ca 失效则需重建 ca 并重签所有证书。

怎么在k8s集群中解决证书过期api-server无法启动

当 Kubernetes 集群的 API Server 证书过期，会导致 kube-apiserver 启动失败、kubectl 无法连接、控制平面瘫痪。这不是简单重启能解决的问题，需手动更新证书并重启组件。核心思路是：重签或续签 apiserver 及相关 TLS 证书（含 CA、apiserver、front-proxy、etcd 客户端等），确保所有组件使用一致且有效的新证书链。

确认证书是否真的过期

别急着重签，先验证问题根源：

查看 kube-apiserver 日志：kubectl logs -n kube-system <apiserver-pod-name></apiserver-pod-name> 或直接查宿主机日志（如 /var/log/pods/.../kube-apiserver/0.log），搜索 x509: certificate has expired 或 invalid certificate
检查 apiserver 的证书有效期：openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -dates（路径以你实际部署为准）
同步检查关联证书：apiserver-kubelet-client.crt、front-proxy-client.crt、etcd/server.crt（若 etcd TLS 启用）、ca.crt（CA 自身不过期，但若用的是自签名短效 CA，也可能到期）

使用 kubeadm 自动续签（推荐，适用于 kubeadm 部署集群）

如果你的集群是用 kubeadm 初始化的（绝大多数标准部署），优先走官方支持的续签流程：

备份当前证书目录：cp -r /etc/kubernetes/pki /etc/kubernetes/pki.backup-$(date +%Y%m%d)
执行续签命令：kubeadm certs renew all（会更新所有内置证书）
重启控制平面组件：sudo systemctl restart kubelet（kubelet 会自动拉起新的 static pod）
验证：等待几分钟后，kubectl get nodes 应恢复正常；检查各证书时间：kubeadm certs check-expiration

注意：该命令仅更新证书文件，不修改 kubeconfig 中的 client-certificate-data。若使用 kubeadm kubeconfig user 生成的 admin.conf 过期，需重新生成：kubeadm init phase kubeconfig admin --cert-dir /etc/kubernetes/pki，再替换 ~/.kube/config。

手动重签证书（适用于非 kubeadm 集群或 kubeadm 续签失败）

当 kubeadm 不可用、证书结构被自定义修改，或 CA 已失效时，需手动操作：

确认 CA 是否仍有效。若 ca.crt 过期，必须先重建 CA（风险高，需同步更新所有依赖它的证书）；若 CA 有效，只需重签 leaf 证书
用原有 CA 签发新 apiserver 证书：准备 CSR（含 SAN 列表：localhost、节点 IP、VIP、域名等），用 openssl x509 -req -in apiserver.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key -CAcreateserial -out apiserver.crt -days 3650
同步更新 apiserver-kubelet-client.crt、front-proxy-client.crt、etcd/server.crt（如使用独立 etcd TLS）
替换所有证书文件后，重启 kubelet：sudo systemctl restart kubelet；若为容器化 etcd，也需重启 etcd 容器