4、证书轮换触发机制：kubeadm证书自动轮换、手动轮换、证书过期检测与告警

Kubernetes 集群中，kubeadm 部署的证书默认有效期为 1 年。证书轮换的触发机制分为 自动轮换、手动轮换 以及 过期检测与告警 三个维度。理解这些机制是保障节点通信兼容性的前提。

4.1 kubeadm 证书自动轮换

kubeadm 自 v1.15 版本起支持控制平面节点的证书自动轮换。该机制依赖 kubelet 的 RotateKubeletServerCertificate 特性，通过 CertificateSigningRequest (CSR) 流程实现。

自动轮换的适用范围与限制：

4.2 手动轮换：kubeadm certs renew

对于不支持自动轮换的证书，kubeadm 提供 kubeadm certs renew 命令进行手动轮换。该命令会重新生成证书文件，但不会自动重启相关组件。

手动轮换的标准流程：

1. 检查证书到期时间： kubeadm certs check-expiration
2. 执行证书续期： kubeadm certs renew all 或指定具体证书名称
3. 重启受影响组件： 手动重启 apiserver、controller-manager、scheduler 等静态 Pod
4. 更新 kubeconfig 文件： kubeadm init phase kubeconfig all --config=kubeadm-config.yaml
5. 分发新证书： 将新证书同步至所有控制平面节点

手动轮换与自动轮换的对比：

4.3 证书过期检测与告警

证书过期是集群通信故障的常见原因。建立有效的检测与告警机制，可以在证书到期前主动干预，避免节点间通信中断。

4.3.1 检测方法

• kubeadm 内置检测： kubeadm certs check-expiration 输出所有证书的到期时间，支持 --v=5 查看详细 CSR 状态。
• OpenSSL 手动检测： openssl x509 -in /etc/kubernetes/pki/apiserver.crt -noout -text | grep -A2 "Validity"
• Prometheus 指标： 通过 cert_manager_certificate_expiry_timestamp_seconds 或 kubelet_certificate_manager_client_expiration_seconds 监控。
• 自定义脚本： 遍历 /etc/kubernetes/pki/ 目录下所有 .crt 文件，计算到期天数。

4.3.2 告警阈值建议

4.3.3 告警实现示例

使用 Prometheus + Alertmanager 实现证书过期告警：

# prometheus 告警规则片段
groups:
  - name: kubernetes-certificates
    rules:
      - alert: KubeCertificateExpiringSoon
        expr: |
          (kubelet_certificate_manager_client_expiration_seconds - time()) < 2592000
        for: 5m
        labels:
          severity: warning
        annotations:
          summary: "Kubelet 客户端证书将在 30 天内过期"
          description: "节点 {{ $labels.node }} 证书剩余 {{ $value | humanizeDuration }}"

      - alert: KubeCertificateExpired
        expr: |
          kubelet_certificate_manager_client_expiration_seconds < time()
        for: 1m
        labels:
          severity: critical
        annotations:
          summary: "Kubelet 客户端证书已过期"
          description: "节点 {{ $labels.node }} 证书已过期，节点通信可能中断"

4.4 轮换触发后的节点通信兼容性影响

证书轮换过程中，节点间通信的兼容性取决于以下关键因素：

• 证书 SAN 一致性： 新证书必须包含旧证书中的所有 Subject Alternative Name，否则 apiserver 会拒绝连接。
• CA 证书不变性： 轮换仅更新叶子证书，CA 证书保持不变，否则所有节点需重新信任新 CA。
• kubeconfig 更新时机： 客户端 kubeconfig 中的 client-certificate-data 必须与新证书匹配，否则认证失败。
• etcd 成员证书： etcd 使用 peer 证书进行成员间通信，轮换后需逐个节点更新并重启，否则集群可能失联。