kubelet簽署證書(shū)到期怎么辦

Kubelet簡(jiǎn)介 

Kubelet組件運(yùn)行在Node節(jié)點(diǎn)上，維持運(yùn)行中的Pods以及提供kuberntes運(yùn)行時(shí)環(huán)境，主要完成以下使命： 

１．監(jiān)視分配給該Node節(jié)點(diǎn)的pods 

２．掛載pod所需要的volumes 

３．下載pod的secret 

４．通過(guò)docker/rkt來(lái)運(yùn)行pod中的容器 

５．周期的執(zhí)行pod中為容器定義的liveness探針 

６．上報(bào)pod的狀態(tài)給系統(tǒng)的其他組件 

７．上報(bào)Node的狀態(tài) 

現(xiàn)象
harbor鏡像平臺(tái)服務(wù)器出現(xiàn)內(nèi)部錯(cuò)誤，請(qǐng)求無(wú)法完成

排查
登陸dashboard發(fā)現(xiàn)node節(jié)點(diǎn)狀態(tài)都為not ready，然后登陸node節(jié)點(diǎn)看到確實(shí)都為not ready ，本能反應(yīng)是把kubelet、kube-proxy服務(wù)都重新一遍，重新后狀態(tài)任然為notready狀態(tài)。
這時(shí)細(xì)看nodes節(jié)點(diǎn)狀態(tài)age為368d，感覺(jué)應(yīng)該是什么過(guò)期了，之前還特意申請(qǐng)證書(shū)為10年，應(yīng)該不是證書(shū)的問(wèn)題，后來(lái)查閱部署文檔發(fā)現(xiàn)kubelet也需要證書(shū)授權(quán)。

解決
最后kubectl get csr發(fā)現(xiàn)果然node-csr都是Pending狀態(tài)，需要重新kubectl certificate approve才能生效。
查資料發(fā)現(xiàn)默認(rèn)簽署的的證書(shū)只有 1 年有效期，如果想要調(diào)整證書(shū)有效期可以通過(guò)設(shè)置 kube-controller-manager 的 --experimental-cluster-signing-duration 參數(shù)實(shí)現(xiàn)，該參數(shù)默認(rèn)值為 8760h0m0s，關(guān)于怎樣增加默認(rèn)簽署證書(shū)時(shí)間及自動(dòng)證書(shū)輪換可以參考kubernetes認(rèn)證授權(quán)機(jī)制。

步驟

[root@k8s01 bin]# kubectl get nodes
NAME        STATUS     ROLES    AGE    VERSION
192.168.88.34   NotReady   <none>   368d   v1.13.1
192.168.88.65   NotReady   <none>   368d   v1.13.1
[root@k8s01 bin]#  kubectl get csr
NAME                                                   AGE   REQUESTOR           CONDITION
node-csr-d8End93rQqSFRHpV65KA2yL-4CnYHT4te6D85lzO5QA   18m   kubelet-bootstrap   Pending
node-csr-iuBw7qxuiCeyiQ1x5WqTASgqVheII-KpTX0L-S8Md8Y   10m   kubelet-bootstrap   Pending
[root@k8s01 bin]# kubectl certificate approve node-csr-d8End93rQqSFRHpV65KA2yL-4CnYHT4te6D85lzO5QA 
certificatesigningrequest.certificates.k8s.io/node-csr-d8End93rQqSFRHpV65KA2yL-4CnYHT4te6D85lzO5QA approved
[root@k8s01 bin]# kubectl certificate approve node-csr-iuBw7qxuiCeyiQ1x5WqTASgqVheII-KpTX0L-S8Md8Y
certificatesigningrequest.certificates.k8s.io/node-csr-iuBw7qxuiCeyiQ1x5WqTASgqVheII-KpTX0L-S8Md8Y approved
[root@k8s01 bin]#  kubectl get csr
NAME                                                   AGE   REQUESTOR           CONDITION
node-csr-d8End93rQqSFRHpV65KA2yL-4CnYHT4te6D85lzO5QA   19m   kubelet-bootstrap   Approved,Issued
node-csr-iuBw7qxuiCeyiQ1x5WqTASgqVheII-KpTX0L-S8Md8Y   11m   kubelet-bootstrap   Approved,Issued
[root@k8s01 bin]# kubectl get nodes
NAME        STATUS   ROLES    AGE    VERSION
192.168.88.34   Ready    <none>   368d   v1.13.1
192.168.88.65   Ready    <none>   368d   v1.13.1