必须使用 kubeadm certs renew all 一键续期所有控制平面证书；先用 kubeadm certs check-expiration 检查有效期，再同步 admin.conf 并修正权限，最后通过移走/恢复 manifests 或重启 kubelet 加载新证书。
当 Kubernetes 集群中多个控制平面组件（如 apiserver、etcd、controller-manager、scheduler）的自签名证书即将过期，且你希望用一条命令完成全部更新，避免逐个处理或手动签发——此时必须依赖 kubeadm 内置的证书管理能力，而非 OpenSSL 或外部工具。
确认当前证书剩余有效期
登录任一控制平面节点（Master），执行：
kubeadm certs check-expiration
该命令会列出 /etc/kubernetes/pki/ 下所有关键证书的到期时间。重点关注 “RESIDUAL TIME” 列：若任意一项小于 30 天，必须立即操作；已过期则集群可能已出现 x509: certificate has expired or is not yet valid 报错。
注意：此命令不检查 kubelet 客户端证书（位于 /var/lib/kubelet/pki/），那是另一套轮换机制，本流程不涉及。
执行一键续期所有控制平面证书
在同一个控制平面节点上，运行：
sudo kubeadm certs renew all
这一步会重新生成全部 10+ 张子证书，包括 apiserver.crt、apiserver-etcd-client.crt、front-proxy-client.crt、etcd/server.crt、controller-manager.conf、scheduler.conf 等，并自动写入 /etc/kubernetes/pki/ 和 /etc/kubernetes/ 目录下对应配置文件。
⚠️ 此操作不会触碰根 CA 证书（ca.crt、ca.key），仅重签子证书，因此不会破坏集群信任链，也无需同步 CA 到其他节点。
同步新管理员配置文件
步骤一：将新生成的 admin.conf 复制到本地 kubeconfig 路径：
sudo cp /etc/kubernetes/admin.conf $HOME/.kube/config
步骤二：修正权限，否则 kubectl 将拒绝读取：
sudo chown $(id -u):$(id -g) $HOME/.kube/config
这一步不可跳过。旧 admin.conf 仍引用已失效的客户端证书，不更新会导致 kubectl get nodes 报 TLS 错误。
强制控制平面组件加载新证书
方法一（推荐，兼容性好）：
临时移走静态 Pod 清单 → 等待容器终止 → 恢复清单触发重建：
sudo mv /etc/kubernetes/manifests/*.yaml /tmp/ → sleep 20 → sudo mv /tmp/*.yaml /etc/kubernetes/manifests/
方法二（简洁但需验证）：
重启 kubelet 服务：
sudo systemctl restart kubelet
✅ 方法二在多数 v1.22+ 环境中可生效，因为 kubelet 会检测到 manifest 文件未变但证书已更新，主动 reload；但部分 etcd 配置较旧的集群仍需方法一确保彻底重建。实际以 crictl ps | grep -E "(apiserver|etcd)" 显示容器启动时间为新时间为准。
