3. 证书轮换前的准备工作：备份集群状态、检查当前证书有效期、确认 kubeconfig 配置、准备新证书

证书轮换是 Kubernetes 集群生命周期中风险最高的操作之一。任何证书过期或配置不一致都可能导致 API Server 拒绝连接、kubelet 无法注册、组件间通信中断。因此，在执行轮换之前，必须完成四项强制性准备工作：备份集群状态、检查当前证书有效期、确认 kubeconfig 配置、准备新证书。以下按标准操作流程展开。

3.1 备份集群状态

备份是证书轮换的第一道防线。一旦新证书签发后出现签名不匹配、SAN 缺失或 CA 不信任等问题，必须能快速回滚到轮换前的状态。备份范围包括：

• etcd 快照：集群所有资源对象、Secret、ConfigMap 的权威存储。
• PKI 目录：/etc/kubernetes/pki/ 下的 CA 证书、服务端证书、密钥对。
• kubeconfig 文件：/etc/kubernetes/admin.conf、controller-manager.conf、scheduler.conf 等。
• 静态 Pod 清单：/etc/kubernetes/manifests/ 下的 YAML 文件。

# 1. 备份 etcd 快照
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  snapshot save /backup/etcd-snapshot-$(date +%Y%m%d-%H%M%S).db

# 2. 备份 PKI 目录
cp -r /etc/kubernetes/pki /backup/pki-$(date +%Y%m%d-%H%M%S)

# 3. 备份 kubeconfig 文件
cp /etc/kubernetes/*.conf /backup/kubeconfig-$(date +%Y%m%d-%H%M%S)/

# 4. 备份静态 Pod 清单
cp -r /etc/kubernetes/manifests /backup/manifests-$(date +%Y%m%d-%H%M%S)/

3.2 检查当前证书有效期

在轮换前必须精确掌握每张证书的剩余有效期，避免遗漏。Kubernetes 集群中主要证书包括：

使用以下命令批量检查证书有效期：

# 检查所有 PEM 格式证书的有效期
for cert in /etc/kubernetes/pki/*.crt /etc/kubernetes/pki/etcd/*.crt; do
  echo "=== $cert ==="
  openssl x509 -in "$cert" -noout -dates -subject
done

# 检查 kubelet 客户端证书
openssl x509 -in /var/lib/kubelet/pki/kubelet-client-current.pem -noout -dates

输出示例：

=== /etc/kubernetes/pki/apiserver.crt ===
notBefore=Apr 10 12:00:00 2024 GMT
notAfter=Apr 10 12:00:00 2025 GMT
subject=CN = kube-apiserver

=== /etc/kubernetes/pki/etcd/server.crt ===
notBefore=Apr 10 12:00:00 2024 GMT
notAfter=Apr 10 12:00:00 2025 GMT
subject=CN = etcd-server

3.3 确认 kubeconfig 配置

kubeconfig 文件中嵌入了客户端证书、CA 证书和私钥的路径或 Base64 数据。轮换证书后，kubeconfig 中的证书数据必须同步更新。确认内容包括：

• 证书来源：检查 users[*].user.client-certificate-data 或 client-certificate 字段是否指向即将轮换的证书文件。
• CA 数据：确认 clusters[*].cluster.certificate-authority-data 与当前 CA 证书一致。
• 上下文绑定：确保 current-context 指向正确的集群和用户。

# 查看当前 kubeconfig 的证书信息
kubectl config view --raw --minify -o jsonpath='{.users[0].user.client-certificate-data}' | base64 -d | openssl x509 -noout -text | grep -E "Subject:|Not Before|Not After"

# 检查 CA 证书指纹是否匹配
openssl x509 -in /etc/kubernetes/pki/ca.crt -noout -fingerprint -sha256
kubectl config view --raw --minify -o jsonpath='{.clusters[0].cluster.certificate-authority-data}' | base64 -d | openssl x509 -noout -fingerprint -sha256

如果指纹不一致，说明 kubeconfig 中的 CA 数据与文件系统中的 CA 不同步，轮换后必须更新 kubeconfig。

3.4 准备新证书

新证书的准备工作包括生成私钥、签发证书、验证证书链。对于 kubeadm 集群，推荐使用 kubeadm certs renew 命令自动完成；对于手动管理的集群，需按以下步骤操作：

1. 生成新私钥：使用 openssl genrsa 或 ecparam 生成 RSA 2048 或 ECDSA P-256 私钥。
2. 创建 CSR 配置文件：确保 SAN（Subject Alternative Name）包含 API Server 的 Service IP、Cluster IP、DNS 名称等。
3. 使用 CA 签发证书：指定有效期（通常 1 年），输出 PEM 格式证书文件。
4. 验证证书链：使用 openssl verify -CAfile ca.crt 确认新证书与 CA 匹配。

# 1. 生成私钥
openssl genrsa -out apiserver.key 2048

# 2. 创建 CSR 配置文件 (apiserver.conf)
cat > apiserver.conf <